Уроки модуля (3/3)
Expiration and recovery
Срок действия и восстановление
Просроченные подписи, устаревший DS или несоответствие ключей могут привести к тому, что проверяющие преобразователи отклонят доступные в противном случае данные DNS. Начните с сохранения доказательств: запишите запрос, преобразователь, код ответа, время и статус проверки. Сравните DS в родительском сервере с данными DNSKEY в дочернем сервере, затем проверьте достоверность и согласованность подписи на авторитетных серверах.
Исправьте неработающую ссылку с наименьшим контролируемым изменением. Отслеживайте независимые проверяющие преобразователи и ждите, пока соответствующие кэши устареют. Не удаляйте DNSSEC вслепую и не вносите сразу несколько ключевых изменений; эти шаги могут увеличить отключение или стереть улики.
В случае подозрения на устаревший DS сравните родительский DS и дочерний DNSKEY, затем проверьте подписи и время кэширования. Подготовьте список инцидентов до переноса, а не во время него.
Проверьте свое понимание
Выберите лучший ответ. Этот тест выполняется локально и не отправляет DNS-запросы на реальные домены.
Какие данные следует сравнить при подозрении на устаревший DS?