DNSSEC ščiti podatke DNS z digitalnimi podpisi. Pri pravilni nastavitvi obiskovalci ne opazijo ničesar, pri napačni pa lahko domena postane popolnoma nedosegljiva: spletna stran se ne naloži in tudi e-pošta ne prispe. Razlog je, da razreševalniki DNS, ki izvajajo preverjanje, napačno podpisanega odgovora ne sprejmejo, temveč vrnejo napako (SERVFAIL).

Najpogostejše napake

Zastarel zapis DS po zamenjavi imenskih strežnikov

To je daleč najpogostejši primer. Zapis DS v coni vrhnje domene določa, s katerim ključem mora biti podpisana cona domene. Če se domena preseli na nove imenske strežnike, pri registru pa ostane zapis DS, ki spada h ključu prejšnjega ponudnika, odgovori novih imenskih strežnikov ne ustrezajo temu zapisu in razreševalniki jih zavrnejo. Enako se zgodi, če zapis DS ostane, pri novem ponudniku pa cona sploh ni podpisana.

Potekli podpisi

Podpisi (RRSIG) imajo rok veljavnosti, zato je treba cono redno znova podpisati. Če se samodejno obnavljanje podpisa ustavi, na primer zaradi napačne nastavitve na lastnem imenskem strežniku ali pomanjkanja prostora, cona čez nekaj dni ali tednov postane neveljavna.

Napačna zamenjava ključa

Ključe je treba občasno zamenjati (key rollover). Če zapis DS novega ključa pride v register prezgodaj ali prepozno ali če je stari ključ izbrisan, preden potečejo predpomnilniki, začasno ne bo veljavne verige zaupanja.

Ročna sprememba cone brez podpisa

Če datoteko cone urejajo ročno, po spremembi pa je ne podpišejo znova, novi ali spremenjeni zapisi nimajo veljavnega podpisa.

Drugi učinki

• Večji odgovori: zaradi podpisov so odgovori DNS večji. Nekateri stari požarni zidovi ali usmerjevalniki ne prepustijo velikih paketov UDP, takrat se poizvedba ponovi prek TCP, kar lahko upočasni razreševanje.
• Razreševalniki brez preverjanja: če razreševalnik ne podpira DNSSEC, podpise preprosto prezre in domena deluje enako kot brez DNSSEC. To torej ne povzroči napake, le ta uporabnik ne dobi zaščite.
• Več vzdrževanja: DNSSEC je treba stalno nadzorovati, z enkratno nastavitvijo naloga ni končana.

Kako preveriš?

• Najpreprosteje z našim brezplačnim orodjem za preverjanje DNSSEC: za vsako cono od korena do domene pokaže ključe, zapise DS in podpise ter označi, pri kateri coni se veriga zaupanja pretrga. Tako je takoj vidno, če zapis DS pri registru ne spada k trenutnemu ključu cone ali če je cona podpisana, v nadrejeni coni pa ni zapisa DS.
• Domeno poizvedi prek razreševalnika s preverjanjem, nato še z izklopljenim preverjanjem: dig pelda.hu @1.1.1.1 in dig +cd pelda.hu @1.1.1.1. Če prvi vrne napako SERVFAIL, drugi (s stikalom +cd, brez preverjanja) pa odgovor, gre skoraj zagotovo za napako DNSSEC.
• Ukaz dig +dnssec pelda.hu izpiše tudi podpise. Pri razreševalniku s preverjanjem zastavica ad v glavi odgovora pokaže, da je bila overitev odgovora uspešna.
• DNSViz (dnsviz.net) isto verigo zaupanja grafično nariše na diagramu.

Kako jo odpraviš?

• Pred zamenjavo imenskih strežnikov izklopi DNSSEC: najprej daj zapis DS izbrisati iz registra, počakaj, da stari zapis DS izgine tudi iz predpomnilnikov (glede na TTL dan ali dva), in šele nato zamenjaj imenske strežnike. Potek zamenjave opisuje članek Sprememba zapisa A ali imenskih strežnikov: kaj uporabiti?.
• Če se je nesreča že zgodila, je najhitrejša rešitev izbris starega zapisa DS. Dokler se izbris ne razširi skozi predpomnilnike, lahko domena iz nekaterih omrežij ostane nedosegljiva. Po izbrisu lahko z orodjem za preverjanje DNSSEC preveriš, ali v nadrejeni coni res ni več zapisa DS.
• Pri lastnem imenskem strežniku preveri, ali programska oprema, ki podpisuje, teče in ali so podpisi veljavni.

Če se domena po zamenjavi imenskih strežnikov ne odpre, druge možne vzroke najdeš v članku Zakaj se moja spletna stran po zamenjavi NS ne odpre?.