Уроки модуля (2/3)
Trust anchors and automated rollover
Доверительные якоря и автоматический ролловер
Обновление — это не «изменить один ключ и надеяться, что Интернет догонит». Резолверы и родительские зоны могут кэшировать данные в течение разных периодов. Корневым якорем доверия можно управлять с помощью автоматизированного процесса. При делегировании CDS и CDNSKEY позволяют дочернему элементу публиковать информацию, которая может помочь его родителю обновить DS в соответствии с политикой родителя.
Автоматизация сокращает ручную работу, но не устраняет необходимости проверок, авторизации и отката. Подтвердите алгоритм и дайджест, сопоставьте DS с DNSKEY, проверьте состояние подписи и учтите окна кэша до и после изменения.
Тщательная процедура устанавливает свои предварительные условия, публикует новый ключ, разрешает распространение, обновляет родительский ключ, проверяет результат от независимых преобразователей и удаляет старый ключ только после завершения перехода. Следуйте процессу, поддерживаемому вашим регистратором и программным обеспечением DNS, а не копируйте команды вслепую.
Ссылки: [RFC 5011 — автоматизированное управление привязкой доверия] (https://www.rfc-editor.org/rfc/rfc5011.html) · [RFC 7344 — CDS/CDNSKEY] (https://www.rfc-editor.org/rfc/rfc7344.html) · [RFC 8078 — DS обновление] (https://www.rfc-editor.org/rfc/rfc8078.html)
Проверьте свое понимание
Выберите лучший ответ. В примерах используются обучающие имена и не отправляются настоящие DNS-запросы.
Что должно оставаться верным во время ролловера?