DNSSEC-Validierungsergebnisse und Fehlerbehebung

DNSSEC-Validierungsergebnisse und Tipps zur Fehlerbehebung

Nachdem Sie einen DNS-Server-Monitor hinzugefügt haben, können Sie Ihre DNS-Antworten validieren, indem Sie die "Domain Name System Security Extensions" (DNSSEC) aktivieren. DNSSEC umfassen eine Reihe von Protokollen, die den DNS-Lookup- und Austauschprozessen eine zusätzliche Sicherheitsebene hinzufügen, indem sie Daten digital signieren, sodass Sie sicher sein können, dass sie gültig sind. Ihre DNSKEY-Einträge werden über eine Vertrauenskette mit einer Reihe verifizierter öffentlicher Schlüssel für die DNS-Rootzone authentifiziert. Sie können DNSSEC aktivieren, indem Sie auf der Überwachungsseite für DNS-Hinzufügungen den Umschalter auf "Yes" stellen.



Was passiert, wenn meine Validierung fehlschlägt?
Wenn die DNSSEC-Validierung fehlschlägt, wechselt der Status des DNS-Monitors zur Warnung "Trouble". Auf der Detailseite wird auch eine entsprechende Fehlermeldung angezeigt, die den Grund für den Validierungsfehler beschreibt. Zu den Fehlermeldungen bei der üblichen Validierung gehören:


  1. "The DNS zone <example.com> is not DNSSEC protected."

    Fehlerbehebungsmethode:  Überprüfen Sie, ob Ihre DNS-Zone mit DNSSEC konfiguriert wurde oder nicht.

  2. "DNSSEC validation failed. Could not establish a chain of trust to keys for <example.com>. Grund: Es wurde kein DS einem DNSKEY zugeordnet."

    Fehlerbehebungsmethode:  Überprüfen Sie, ob der Datensatz des Delegationsunterzeichners (DS) für Ihre Domäne in der Top-Level-Domain (TLD) und Ihre Zone Public KSK identisch sind.

  3. "DNSSEC validation failed. The NSEC/NSEC3 record returned a NODATA response in the DNSSEC protected zone."

    Fehlerbehebungsmethode: Stellen Sie sicher, dass Ihre Zone über eine DNSSEC-Signatur (RRSig) verfügt.

  4. "DNSSEC validation failed. The resolver query returned an INSECURE response during validation. Grund: Nach Abfrage des example.com./DS-Eintrags in der übergeordneten Zone wurden keine signierten NSEC/NSEC3-Einträge gefunden."

    Fehlerbehebungsmethode: Stellen Sie sicher, dass Ihre Top-Level-Domain (TLD) über einen Delegationsunterzeichner-Eintrag (DS) für Ihre Zone verfügt.
Verwandte Lektüre: