การย้าย DNSSEC ที่มี KSK เท่านั้นที่ย้าย

เวอร์ชั่นสั้น: ถ้า sone ที่ลงนาม DNSSec แทนที่ทั้ง ZSK (และบันทึกทั้งหมดที่เกี่ยวข้องกับ ZSK เก่า) และในขณะเดียวกันก็เก็บ KSKs (ซึ่งอ้างอิงถึงโดยเซิร์ฟเวอร์อัปสตรีม) มันจะสร้างความเดือดร้อนอะไรไหม? และจะทำให้เกิดปัญหาหลังจาก TTL ของโซน/ระเบียนหมดอายุหรือไม่?

รุ่นยาว: ดังนั้นฉันจึงเปลี่ยนเซิร์ฟเวอร์ DNS ที่ได้รับอนุญาต 2012R2 (สำรองไฟล์) ซึ่งโฮสต์โซน DNSSEC จำนวนหนึ่ง

จากสิ่งที่ฉันรวบรวมมา เป็นไปไม่ได้ที่จะย้าย ZSK สำหรับโซน แต่สามารถย้าย KSK ได้ (ในทางเทคนิคแล้ว ฉันสามารถย้ายทั้งสองอย่างได้ แต่สามารถนำเข้า KSK ในโซนได้เท่านั้นด้วยเหตุผลบางประการ) นอกจากนี้ยังเป็นไปไม่ได้ที่จะเพิ่มเรกคอร์ดที่เกี่ยวข้องกับ DNSSEC 'กำหนดเอง' เมื่อ Windows Server ตั้งค่าสถานะโซนเป็นเซ็นชื่อเซิร์ฟเวอร์ DNS ต้นน้ำ (TLD ระดับประเทศ) มีการอ้างอิงถึง KSK เท่านั้น

หากฉันเข้าใจถูกต้อง หากฉันคัดลอกโซน ให้สร้าง ZSK ใหม่และลงนาม จากนั้นทำการออนไลน์ (จะมี IP เหมือนกับเซิร์ฟเวอร์ก่อนหน้า) สิ่งนี้จะนำไปสู่ปัญหาในการตรวจสอบลายเซ็นระหว่าง TTL ของโซน/บันทึกที่เป็นปัญหาเท่านั้น (ฉันเชื่อ) และต่อเมื่อมีคนแคชเฉพาะบันทึกไม่ใช่บันทึกลายเซ็น (ฉันทราบด้วยว่าเซิร์ฟเวอร์ DNS บางตัวอาจแคชมากกว่าโซน TTL)

ถ้า DNSSec-signed sone แทนที่ทั้ง ZSK (และบันทึกทั้งหมดที่เกี่ยวข้องกับ ZSK เก่า) และในขณะเดียวกันก็เก็บ KSKs (ซึ่งเซิร์ฟเวอร์อัปสตรีมอ้างอิงถึง) มันจะสร้างความเดือดร้อนอะไรไหม?

ใช่. ดูเหมือนคุณจะลืมไปว่าระเบียน DNS มี TTL ดังนั้นตัวแก้ไขแบบเรียกซ้ำจะ / อาจมีข้อมูลคีย์เก่าอยู่ในแคช (ไฟล์ DNSKEY บันทึกที่แสดงรายการ ZSK เก่า) และด้วยเหตุนี้จึงคาดหวังว่าจะพบลายเซ็นด้วย "ทันใดนั้น" ไม่เคยผสมกับ DNS ไม่ควรทำการเปลี่ยนแปลงโดยไม่มีระยะเวลาผ่อนผัน

จากสิ่งที่ฉันรวบรวมมา เป็นไปไม่ได้ที่จะย้าย ZSK สำหรับโซน แต่สามารถย้าย KSK ได้

ไม่ชัดเจนสำหรับฉันว่าคุณหมายถึงอะไรโดย "โยกย้าย" ที่นั่น ZSK ตามคำนิยาม มีการหมุนเวียนบ่อยครั้ง เช่น หนึ่งรายการในแต่ละเดือนหรือทุก 2 เดือน แต่มีการทับซ้อนกัน

ไม่ว่าอะไรจะเกิดขึ้น คุณมีวิธีการที่น่าเกลียดในการเปลี่ยนแปลงสิ่งต่างๆ อยู่เสมอ ซึ่งได้ผลแต่เปิดหน้าต่างที่ไม่มีความปลอดภัย:

• ลบ DS ที่พาเรนต์
• รอเวลา "เพียงพอ" (อย่างน้อย ดีเอส TTL และอื่นๆ)
• ตอนนี้โซนของคุณไม่ได้รับการรักษาความปลอดภัย DNSSEC อีกต่อไป คุณสามารถเปลี่ยนเนื้อหาได้ตามต้องการ รวมถึงเกี่ยวกับคีย์ด้วย
• เมื่อคุณถึงการกำหนดค่าใหม่ที่ต้องการแล้ว และคุณได้ทดสอบว่า DNSSEC ใช้ได้โดยการจำลองเฉพาะ ดีเอส ที่พาเรนต์ก็ใส่ได้ ดีเอส บันทึกกลับไปที่ผู้ปกครอง

แน่นอน หากคุณมีการตรวจสอบใด ๆ บนโซนของคุณที่คาดหวัง DNSSEC มันก็จะส่งเสียงเตือนในระหว่างกระบวนการ (หรืออย่างน้อยก็เป็นการทดสอบที่ดีสำหรับการตรวจสอบด้วย)