Modulelessen (2/3)
KSK, ZSK, and rollover
KSK, ZSK en rollover
Bij sommige bewerkingen wordt onderscheid gemaakt tussen een key-signing key (KSK), die DNSKEY-gegevens ondertekent, en een zone-signing key (ZSK), die andere RRsets ondertekent. Implementaties en sleutelbeheermodellen variëren; begrijp de gebruikte configuratie in plaats van aan te nemen dat elke operator dezelfde splitsing gebruikt.
Een rollover is een gedistribueerde transitie. Resolvers en bovenliggende zones kunnen gegevens gedurende verschillende perioden in caches bewaren. Het gebruikelijke veilige patroon is het publiceren en verifiëren van de nieuwe sleutel, het beschikbaar houden van oud en nieuw materiaal via de vereiste overlap, het bijwerken van de bovenliggende DS indien nodig, en het verwijderen van de oude sleutel pas nadat bekend is dat de overgang voltooid is.
Plan de volgorde, vereisten, observatiepunten en terugdraaiing voordat u de productiesleutels wijzigt. Stel nooit privé-sleutelmateriaal bloot om een rollover gemakkelijker te maken.
Controleer uw begrip
Kies het beste antwoord. Deze quiz wordt lokaal uitgevoerd en stuurt geen DNS-query's naar echte domeinen.
Waarom worden oude en nieuwe sleutels vaak samen gepubliceerd tijdens de rollover?