Модульні уроки (1/3)
NSEC, NSEC3, and negative proofs
NSEC, NSEC3 і негативні докази
DNSSEC має підтвердити не тільки наявність запису, але й відсутність імені або типу. NSEC зв’язує імена в порядку сортування та перераховує типи під назвою. Валідатор перевіряє підписи та підтвердження, щоб підтвердити негативну відповідь. Ходячі посилання NSEC можуть виявити імена в зоні.
NSEC3 хешує імена, щоб зробити просте перерахування менш прямим, але це не шифрування. Передбачувані імена все ще можна відгадати та перевірити. Відмова може зменшити витрати в деяких сценаріях делегування, але це змінює, які делегації охоплюються доказами. Агресивне негативне кешування може дозволити сумісним резолверам повторно використовувати підтверджені докази для найближчих запитів.
Посилання: RFC 4034 — NSEC · RFC 5155 — NSEC3 · RFC 8198 — агресивний кешування
Перевірте своє розуміння
Виберіть найкращу відповідь. У прикладах використовуються навчальні імена та не надсилаються справжні DNS-запити.
Чи робить NSEC3 назви зон конфіденційними?