Dacă un sone semnat de DNSSec înlocuiește brusc ambele ZSK (și toate înregistrările legate de vechiul ZSK) și, în același timp, păstrează KSK-urile (la care se face referire de către serverul din amonte). Va cauza vreo problemă?
Da. Se pare că uitați că înregistrările DNS au TTL. Deci, soluțiile recursive vor/pot avea vechile date cheie în memoria cache (the DNSKEY înregistrările care listează vechile ZSK-uri) și, prin urmare, așteptați, de exemplu, să găsiți semnături cu el. „Deodată” nu amestecă niciodată voința cu DNS. Nicio modificare nu ar trebui făcută fără perioade de grație.
Din câte am adunat, nu este posibil să migrați ZSK-urile pentru o zonă, dar este posibil să migrați KSK-urile.
Nu îmi este clar ce vrei să spui prin „migrați” acolo. ZSK-urile, prin definiție, sunt rotite adesea, ca unul în fiecare lună sau la fiecare 2 luni, dar cu suprapunere.
Indiferent de ce, aveți întotdeauna această metodă urâtă de a schimba lucrurile, care funcționează, dar deschide o fereastră fără securitate:
- eliminați DS la părinte
- așteptați „destul” timp (cel puțin
DS TTL și altele)
- acum zona dvs. nu mai este securizată DNSSEC, puteți modifica conținutul acesteia după bunul plac, inclusiv despre chei
- odată ce ați ajuns la noua configurație dorită și ați testat că DNSSEC este ok prin simularea unui anumit
DS la părinte, atunci poți pune asta DS înregistrarea înapoi la părinte.
Desigur, dacă aveți vreo monitorizare în zona dvs. care se așteaptă la DNSSEC, va țipa în timpul procedurii (sau cel puțin un test bun și pentru monitorizare).
