Модульні уроки (2/3)
Trust anchors and automated rollover
Якорі довіри та автоматичне перекидання
Перекидання — це не «змінити один ключ і сподіватися, що Інтернет наздожене». Резолвери та батьківські зони можуть кешувати дані за різні періоди. Кореневим прив'язкою довіри можна керувати за допомогою автоматизованого процесу. Під час делегування CDS і CDNSKEY дозволяють дитині публікувати інформацію, яка може допомогти її батькам оновити DS відповідно до політики батьків.
Автоматизація зменшує ручну роботу, але не усуває потреби в перевірках, авторизації та відкаті. Підтвердьте алгоритм і дайджест, зіставте DS із DNSKEY, перевірте стан підпису та врахуйте вікна кешу до та після зміни.
Ретельна процедура визначає свої попередні умови, публікує новий ключ, дозволяє розповсюдження, оновлює батьківський ключ, перевіряє результат від незалежних розв’язувачів і видаляє старий ключ лише після завершення переходу. Дотримуйтеся підтримуваного процесу вашого реєстратора та програмного забезпечення DNS, а не копіюйте команди наосліп.
Посилання: RFC 5011 — автоматизоване керування довірчими якорями · RFC 7344 — CDS/CDNSKEY · RFC 8078 — DS оновлення
Перевірте своє розуміння
Виберіть найкращу відповідь. У прикладах використовуються навчальні імена та не надсилаються справжні DNS-запити.
Що має залишатися вірним під час перекидання?