Что такое DNSSEC?
DNSSEC (DNS Security Extensions) криптографически подписывает DNS-записи, чтобы резолверы могли убедиться, что они не были подделаны, защищая от отравления кэша и спуфинга. Он добавляет цепочку доверия поверх обычного DNS, не меняя смысла записей. IPeek запрашивает проверяющий резолвер DNS-over-HTTPS и сообщает, подписан ли домен и аутентифицирован ли он.
Как DNSSEC строит цепочку доверия
DNSSEC работает, подписывая каждую зону закрытым ключом и публикуя соответствующий открытый ключ в DNS. Записи подписываются (RRSIG), ключи публикуются (DNSKEY), а отпечаток ключа зоны (запись DS) помещается в родительскую зону. Это связывает вашу зону с её родителем, который связан со своим родителем, и так до самого корня — непрерывная цепочка доверия. Проверяющий резолвер следует по этой цепочке от корня вниз, проверяя каждую подпись, и доверяет только ответам, чьи подписи проходят проверку.
Как читать результаты проверки DNSSEC
IPeek сообщает, подписан ли домен DNSSEC и аутентифицирует ли его проверяющий резолвер. Аутентифицированный результат (часто показываемый как флаг AD, или Authenticated Data) означает, что цепочка доверия цела и записи проверены. Если домен не подписан, DNSSEC просто не включён — это распространено и не является ошибкой, но означает, что записи не защищены. Подписанный домен, не прошедший проверку, серьёзнее: он указывает на сломанную цепочку, обычно из-за отсутствующей или несоответствующей записи DS у регистратора.
Частые проблемы DNSSEC и их устранение
Самый частый сбой — сломанная цепочка доверия, когда зона подписана, но запись DS в родительской зоне отсутствует, устарела или не соответствует текущему ключу. Это заставляет проверяющие резолверы возвращать SERVFAIL и может полностью увести домен в офлайн для пользователей за проверяющими резолверами. Обычно это происходит при ротации ключей или при включении DNSSEC без загрузки записи DS регистратору. Исправьте это, убедившись, что запись DS у регистратора соответствует активному ключу вашей зоны, и никогда не удаляйте старые ключи до распространения обновления DS.