Bài học theo mô-đun (3/3)
Expiration and recovery
Hết hạn và phục hồi
Chữ ký hết hạn, DS cũ hoặc khóa không khớp có thể khiến trình phân giải xác thực từ chối dữ liệu DNS có thể truy cập được. Bắt đầu bằng cách lưu giữ bằng chứng: ghi lại truy vấn, trình giải quyết, mã phản hồi, thời gian và trạng thái xác thực. So sánh DS ở máy mẹ với dữ liệu DNSKEY ở máy con, sau đó kiểm tra tính hợp lệ và tính nhất quán của chữ ký trên các máy chủ có thẩm quyền.
Sửa liên kết bị hỏng bằng thay đổi được kiểm soát nhỏ nhất. Giám sát từ các trình phân giải xác thực độc lập và đợi các bộ đệm có liên quan hết hạn sử dụng. Không loại bỏ DNSSEC một cách mù quáng hoặc thực hiện nhiều thay đổi quan trọng cùng một lúc; những bước đó có thể mở rộng tình trạng mất điện hoặc xóa bỏ manh mối.
Đối với DS cũ bị nghi ngờ, hãy so sánh DS gốc và DNSKEY con, sau đó kiểm tra chữ ký và thời gian lưu trong bộ đệm. Chuẩn bị một sổ ghi chép sự cố trước khi chuyển đổi, không phải trong thời gian đó.
Kiểm tra sự hiểu biết của bạn
Chọn câu trả lời tốt nhất. Bài kiểm tra này chạy cục bộ và không gửi truy vấn DNS đến các miền thực.
Đối với một DS cũ bị nghi ngờ, bạn nên so sánh dữ liệu nào?