Modulelessen (2/3)
Trust anchors and automated rollover
Vertrouwensankers en geautomatiseerde rollover
Een rollover betekent niet ‘één sleutel veranderen en hopen dat het internet de achterstand inhaalt’. Resolvers en bovenliggende zones kunnen gegevens voor verschillende perioden in de cache opslaan. Het root trust anchor kan worden beheerd met een geautomatiseerd proces. Bij een delegatie lieten CDS en CDNSKEY een kind informatie publiceren die de ouder kan helpen de DS bij te werken, met inachtneming van het beleid van de ouder.
Automatisering vermindert het handmatige werk, maar neemt de noodzaak van controles, autorisatie en terugdraaien niet weg. Bevestig het algoritme en de samenvatting, match DS met DNSKEY, controleer de handtekeningstatus en houd rekening met cachevensters voor en na de wijziging.
Een zorgvuldige procedure stelt de voorwaarden vast, publiceert de nieuwe sleutel, maakt voortplanting mogelijk, werkt de ouder bij, verifieert het resultaat van onafhankelijke oplossers en verwijdert de oude sleutel pas als de transitie voltooid is. Volg het ondersteunde proces van uw registrar en DNS-software in plaats van blindelings opdrachten te kopiëren.
Referenties: RFC 5011 — geautomatiseerd trust-anchor-beheer · RFC 7344 — CDS/CDNSKEY · RFC 8078 — DS update
Controleer uw begrip
Kies het beste antwoord. In de voorbeelden worden trainingsnamen gebruikt en worden geen echte DNS-query's verzonden.
Wat moet waar blijven tijdens een rollover?