Уроки модуля (1/3)
Signing and publishing a zone
Подписание и публикация зоны
При подписании зоны создаются данные DNSKEY и RRSIG и, при необходимости, записи об отказе в существовании. Опубликованные записи, подписи и ЭП в родителе должны совпадать. Правильная подпись, срок действия которой истекает до обновления, все равно может привести к сбою проверки.
Прежде чем включать DS, убедитесь, что дочерний элемент обслуживает предполагаемый DNSKEY и действительные подписи от каждого авторитетного сервера. Проверьте родительский дайджест DS по этому ключу. Используйте поэтапное изменение, подтверждайте ответы с помощью независимых проверяющих преобразователей и сохраняйте документированный путь восстановления. Защитите закрытые ключи и ограничьте доступ к системам подписи.
Операции DNSSEC распределены: публикация, TTL, кэши и изменения регистратора не обновляются повсюду одновременно. Проверяйте каждый этап, прежде чем переходить к следующему.
Проверьте свое понимание
Выберите лучший ответ. Этот тест выполняется локально и не отправляет DNS-запросы на реальные домены.
Что следует проверить перед публикацией DS в родительском каталоге?