Mit mutat ez a teszt?
A DNS Security Extensions, azaz DNSSEC lehetővé teszi, hogy a feloldók érvényesítsék az aláírt DNS-adatokat. Ez a teszt azt kérdezi, elutasítja-e a választott feloldó a szándékosan érvénytelen aláírást. Ez a DNS-válaszok hitelességére és sértetlenségére vonatkozik; nem titkosítja a lekérdezéseket, és nem állapítja meg, melyik feloldót használja általában a böngésző.
A teszt futtatása
- Adja meg a tesztelni kívánt feloldó címét, és az összehasonlítások között hagyja változatlanul a kiválasztott DNS-portot.
- Futtassa az ellenőrzéseket az aláírt érvényes és a szándékosan érvénytelen domainre.
- Hasonlítsa össze az érvénytelen domaint bekapcsolt és kikapcsolt ellenőrzéssel, az érvényes domain kontrolljával együtt.
A mérés működése
Szerverünk natív DNS-lekérdezéseket küld a választott feloldónak UDP-vel és szükség esetén TCP tartalékmegoldással. DNSSEC-rekordokat kér, és megismétli az érvénytelen esetet a Checking Disabled bit beállításával.
Ezek a kérések a szerver hálózatából indulnak. A választott feloldót és a kontrolldomain DNS-infrastruktúráját érik el; a teszt nem fedezi fel automatikusan a böngésző DNS-over-HTTPS szolgáltatóját.
Az eredmények értelmezése
- Az érvényesítés megerősítve
- Az érvényes kontroll adatot ad vissza, az érvénytelen domain bekapcsolt ellenőrzéssel sikertelen, adatai pedig kikapcsolt ellenőrzéssel visszatérnek. Ezek együtt alátámasztják az aláírás érvényesítését.
- Nincs érvényesítés
- A feloldó bekapcsolt ellenőrzés mellett adatot ad vissza a szándékosan érvénytelen aláíráshoz. Ebben a tesztben nem utasította el az érvénytelen választ.
- Nem meghatározható
- Időtúllépés, elutasítás, sikertelen érvényes kontroll vagy következetlen válaszok megakadályozzák a megbízható következtetést. A hiba önmagában nem bizonyít érvényesítést.
Összehasonlítás előtte és utána
- Mentse alapállapotként a feloldót, a portot, a kontrollok eredményét és a válaszok részleteit.
- Módosítson egy feloldó- vagy érvényesítési beállítást, és ismételje meg ugyanazokat a kontrollokat ezzel az eszközzel.
- A három eredményt együtt hasonlítsa össze. Ha módosítja az eszköz DNS-beállításait, ellenőrizze, hogy az itt tesztelt feloldót kívánta-e értékelni.
A teszt korlátai
- A szerver és a feloldó közötti hálózati korlátozások befolyásolhatják az eredményeket.
- A hitelesített adat jelzője kontextust ad, de a kontrollált érvényes és érvénytelen összehasonlítás adja a fő bizonyítékot.
Min változtasson szükség esetén?
- Az érvénytelen aláírásokat elfogadja
- Ha Ön kezeli a feloldót, vizsgálja felül az érvényesítési beállításokat; különben fontoljon meg dokumentáltan érvényesítő feloldót, és teszteljen újra.
- Az érvényes kontroll is sikertelen
- Ellenőrizze a feloldó és a DNS-port elérhetőségét, mielőtt a hibát a DNSSEC-nek tulajdonítaná.
Gyakran ismételt kérdések
A DNSSEC elrejti a DNS-lekérdezéseimet?
Nem. A DNSSEC az aláírt válaszokat ellenőrzi. A titkosított DNS-átvitel a kapcsolat más részére vonatkozik.
A pozitív eredmény a böngésző DNS-ére is érvényes?
Csak akkor, ha a böngésző ténylegesen a tesztelt feloldót használja. A biztonságos DNS beállításai más szolgáltatást választhatnak.