Уроки модуля (2/3)
KSK, ZSK, and rollover
KSK, ZSK и перенос
Некоторые операции различают ключ подписи ключа (KSK), который подписывает данные DNSKEY, от ключа подписи зоны (ZSK), который подписывает другие наборы RRset. Реализации и модели управления ключами различаются; понимать используемую конфигурацию, а не предполагать, что каждый оператор использует одно и то же разделение.
Ролловер — это распределенный переход. Резолверы и родительские зоны могут хранить данные в кэшах в течение разных периодов времени. Обычный безопасный шаблон — опубликовать и проверить новый ключ, сохранить доступность старого и нового материала посредством необходимого перекрытия, обновить родительский DS, когда это необходимо, и удалить старый ключ только после того, как станет известно, что переход завершен.
Спланируйте последовательность, предпосылки, точки наблюдения и откат перед изменением ключей производства. Никогда не раскрывайте данные закрытого ключа, чтобы упростить смену ключей.
Проверьте свое понимание
Выберите лучший ответ. Этот тест выполняется локально и не отправляет DNS-запросы на реальные домены.
Почему при обновлении старые и новые ключи часто публикуются вместе?