Lecții din modul (2/3)
KSK, ZSK, and rollover
KSK, ZSK și rollover
Unele operațiuni disting o cheie de semnare a cheilor (KSK), care semnează datele DNSKEY, de o cheie de semnare a zonei (ZSK), care semnează alte RRset-uri. Implementările și modelele de management al cheilor variază; înțelegeți configurația utilizată, mai degrabă decât să presupunem că fiecare operator folosește aceeași împărțire.
Un rollover este o tranziție distribuită. Rezolvatorii și zonele părinte pot păstra date în cache pentru perioade diferite. Modelul sigur obișnuit este publicarea și verificarea cheii noi, păstrarea materialului vechi și nou disponibil prin suprapunerea necesară, actualizarea DS-ului părinte atunci când este cazul și eliminarea cheii vechi numai după ce se știe că tranziția este completă.
Planificați secvența, cerințele preliminare, punctele de observare și rollback înainte de a schimba cheile de producție. Nu expuneți niciodată materialul cheii private pentru a face o răsturnare mai ușoară.
Verificați-vă înțelegerea
Alegeți cel mai bun răspuns. Acest test rulează local și nu trimite interogări DNS către domenii reale.
De ce cheile vechi și noi sunt adesea publicate împreună în timpul transferului?