A DNSSEC digitális aláírásokkal védi a DNS-adatokat. Helyes beállítás mellett a látogatók semmit nem vesznek észre belőle, hibás beállításnál viszont a domain teljesen elérhetetlenné válhat: a weboldal nem töltődik be, és a levelek sem érkeznek meg. Ennek oka, hogy az ellenőrzést végző DNS-feloldók a hibásan aláírt választ nem fogadják el, hanem hibát (SERVFAIL) adnak vissza.

A leggyakoribb hibák

Elavult DS rekord névszerverváltás után

Ez messze a leggyakoribb eset. A TLD zónájában szereplő DS rekord azt rögzíti, melyik kulccsal kell aláírva lennie a domain zónájának. Ha a domain új névszerverekre költözik, de a nyilvántartóban a régi szolgáltató kulcsához tartozó DS rekord marad, az új névszerverek válaszai nem felelnek meg neki, és a feloldók elutasítják őket. Ugyanez történik, ha a DS rekord megmarad, de az új szolgáltatónál a zóna egyáltalán nincs aláírva.

Lejárt aláírások

Az aláírásoknak (RRSIG) érvényességi idejük van, ezért a zónát rendszeresen újra kell aláírni. Ha az aláírás automatikus megújítása leáll, például egy saját névszerveren hibás beállítás vagy elfogyott tárhely miatt, a zóna néhány nap vagy hét múlva érvénytelenné válik.

Hibás kulcscsere

A kulcsokat időnként cserélni kell (key rollover). Ha az új kulcshoz tartozó DS rekord túl korán vagy túl későn kerül a nyilvántartóba, vagy a régi kulcsot a gyorsítótárak lejárta előtt törlik, átmenetileg nem lesz érvényes bizalmi lánc.

Kézi zónamódosítás aláírás nélkül

Ha a zónafájlt kézzel szerkesztik, de a módosítás után nem írják alá újra, az új vagy módosított rekordokhoz nem tartozik érvényes aláírás.

Egyéb hatások

• Nagyobb válaszok: az aláírások miatt a DNS-válaszok nagyobbak lesznek. Néhány régi tűzfal vagy router nem engedi át a nagy UDP-csomagokat, ilyenkor a lekérdezés TCP-n ismétlődik meg, ami lassíthatja a feloldást.
• Nem ellenőrző feloldók: ha egy feloldó nem támogatja a DNSSEC-et, egyszerűen figyelmen kívül hagyja az aláírásokat, és a domain ugyanúgy működik, mint DNSSEC nélkül. Ez tehát nem okoz hibát, csak az adott felhasználó nem kapja meg a védelmet.
• Több karbantartás: a DNSSEC-et folyamatosan felügyelni kell, egyszeri beállítással nincs vége a feladatnak.

Hogyan ellenőrizheti?

• A legegyszerűbb az ingyenes DNSSEC ellenőrző eszközünk: zónánként, a gyökértől a domainig megmutatja a kulcsokat, a DS rekordokat és az aláírásokat, és megjelöli, melyik zónánál szakad meg a bizalmi lánc. Így azonnal látszik, ha a nyilvántartóban lévő DS rekord nem a zóna jelenlegi kulcsához tartozik, vagy ha a zóna aláírt, de a szülő zónában nincs DS rekord.
• Kérdezze le a domaint egy ellenőrző feloldón keresztül, majd az ellenőrzés kikapcsolásával is: dig pelda.hu @1.1.1.1 és dig +cd pelda.hu @1.1.1.1. Ha az első SERVFAIL hibát ad, a második (a +cd kapcsolóval, ellenőrzés nélkül) viszont választ, akkor szinte biztosan DNSSEC-hiba van.
• A dig +dnssec pelda.hu parancs kiírja az aláírásokat is. Ellenőrző feloldónál a válasz fejlécében lévő ad jelző mutatja, hogy a válasz hitelesítése sikerült.
• A DNSViz (dnsviz.net) grafikusan, ábrán rajzolja ki ugyanezt a bizalmi láncot.

Hogyan javítható?

• Névszerverváltás előtt kapcsolja ki a DNSSEC-et: először a DS rekordot töröltesse a nyilvántartóból, várja meg, amíg a régi DS rekord a gyorsítótárakból is kikerül (ez a TTL-től függően egy-két nap), és csak utána váltson névszervert. A váltás menetéről az A-rekord vagy névszerver-váltás: melyiket használjam? cikk ír.
• Ha már megtörtént a baj, a leggyorsabb megoldás a régi DS rekord törlése. Amíg a törlés a gyorsítótárakon át nem terjed, a domain egyes hálózatokból még elérhetetlen maradhat. A törlés után a DNSSEC ellenőrzővel megnézheti, hogy a szülő zónában valóban nincs-e már DS rekord.
• Saját névszervernél ellenőrizze, hogy az aláírást végző szoftver fut-e, és az aláírások érvényesek-e.

Ha a domain névszerverváltás után nem nyílik meg, a további lehetséges okokat a Miért nem nyílik meg weboldalam NS váltás után? cikkben találja.