Τι σας δείχνει αυτή η δοκιμή
Το DNSSEC προσθέτει ψηφιακές υπογραφές ώστε ένας επιλυτής να ελέγχει την αυθεντικότητα των δεδομένων DNS. Η δοκιμή συγκρίνει σωστά υπογεγραμμένο όνομα με όνομα που έχει σκόπιμα άκυρη υπογραφή. Δεν μετρά την εμπιστευτικότητα των ερωτημάτων. Ένας επιλυτής μπορεί να επικυρώνει υπογραφές χωρίς κρυπτογραφημένη μεταφορά, ενώ κρυπτογραφημένο DNS δεν εγγυάται επικύρωση.
Πώς να εκτελέσετε τη δοκιμή
- Επιλέξτε ή εισαγάγετε τον επιλυτή που θέλετε να εξετάσετε. Μη θεωρήσετε ότι είναι αυτομάτως αυτός του προγράμματος περιήγησης.
- Εκτελέστε τον έλεγχο και περιμένετε τις ερωτήσεις των έγκυρων και άκυρων ονομάτων.
- Εξετάστε τις απαντήσεις με ενεργό έλεγχο και με απενεργοποίηση ελέγχου, μαζί με τα σχετικά σφάλματα.
Πώς γίνεται η μέτρηση
Ο διακομιστής ερωτά απευθείας τον επιλεγμένο επιλυτή με επιλογές DNSSEC. Συγκρίνει την κανονική συμπεριφορά με ερωτήσεις όπου ζητείται να παρακαμφθεί ο έλεγχος υπογραφών.
Τα ονόματα δοκιμής και οι ερωτήσεις φτάνουν στον επιλυτή από τον διακομιστή. Η μέτρηση αφορά αυτή τη διαδρομή και δεν αποδεικνύει ποιον επιλυτή χρησιμοποιεί άλλη εφαρμογή ή ο browser.
Κατανοήστε τα αποτελέσματα
- Η συμπεριφορά συμφωνεί με επικύρωση
- Το έγκυρο όνομα επιλύεται, ενώ το άκυρο απορρίπτεται υπό έλεγχο και η παράκαμψη εξηγεί τη διαφορά. Πρόκειται για ένδειξη αυτής της δοκιμής.
- Το άκυρο όνομα γίνεται δεκτό
- Αν οι έλεγχοι ολοκληρώθηκαν, δεν παρατηρείται η αναμενόμενη απόρριψη άκυρης υπογραφής. Εξετάστε τις πλήρεις απαντήσεις.
- Οι ερωτήσεις αποτυγχάνουν
- Χρονικά όρια, πρόσβαση ή μη διαθέσιμα ονόματα μπορούν να αφήσουν την επικύρωση άγνωστη. Ένα μεμονωμένο σφάλμα δεν αρκεί.
Σύγκριση πριν και μετά
- Αποθηκεύστε τις αρχικές απαντήσεις του ίδιου επιλυτή και των ίδιων ονομάτων δοκιμής.
- Αλλάξτε μόνο επιλυτή ή σχετική ρύθμιση επικύρωσης που ελέγχετε και επαναλάβετε.
- Συγκρίνετε το μοτίβο έγκυρου/άκυρου και την παράκαμψη ελέγχου. Κρατήστε την αποτυχία σύνδεσης χωριστά από την απόρριψη υπογραφής.
Όρια της δοκιμής
- Ένα σφάλμα SERVFAIL μπορεί να έχει άλλες αιτίες πέρα από το DNSSEC.
- Η δοκιμή δεν ελέγχει υπογραφές κάθε ονόματος που επισκέπτεστε ή την πραγματική διαδρομή DNS του browser.
Τι να αλλάξετε, αν χρειάζεται
- Ο επιλυτής δέχεται άκυρη υπογραφή
- Ελέγξτε αν υποστηρίζει και εφαρμόζει επικύρωση. Αν επιλέξετε άλλο επιλυτή, επιβεβαιώστε ξεχωριστά ότι η συσκευή τον χρησιμοποιεί.
- Και τα έγκυρα ονόματα αποτυγχάνουν
- Ελέγξτε συνδεσιμότητα και διαθεσιμότητα επιλυτή πριν αποδώσετε τη βλάβη σε έλεγχο υπογραφών.
Συχνές ερωτήσεις
Το DNSSEC κρύβει τα ονόματα που ζητώ;
Όχι. Ελέγχει την αυθεντικότητα δεδομένων DNS· η εμπιστευτικότητα της μεταφοράς είναι διαφορετικό ζήτημα.
Αρκεί μία απάντηση με ένδειξη DNSSEC;
Όχι για αυτή την ερμηνεία. Ο συνδυασμός έγκυρου, άκυρου και ελέγχου παράκαμψης δίνει πιο χρήσιμη εικόνα.