Waarvoor gebruik je dit?
DNSSEC voegt controleerbare handtekeningen toe aan DNS-antwoorden. Deze test onderzoekt of de gekozen resolver die handtekeningen daadwerkelijk valideert. Dat is iets anders dan DNS-verkeer versleutelen. Het is ook geen automatische controle van de resolver die je browser gebruikt: de aanvragen vertrekken vanuit de testserver naar de gekozen resolver.
Aan de slag
- Kies de resolver die je wilt onderzoeken en noteer zijn adres en het gebruikte transport.
- Start de controles voor geldig ondertekende en bewust ongeldig ondertekende testdomeinen, inclusief de aanvraag met controle uitgeschakeld.
- Lees de combinatie van de controleantwoorden. Een succesvol antwoord zonder bruikbare gegevens is op zichzelf onvoldoende.
Zo meten we
De server bevraagt de gekozen resolver met geldige en ongeldige DNSSEC-testgevallen. De CD-vlag, Checking Disabled, vraagt daarnaast een antwoord zonder validatie af te dwingen.
De resolver ontvangt de testaanvragen vanaf de server. De combinatie van positieve, negatieve en uitgeschakelde controle helpt validatie van algemene bereikbaarheid te onderscheiden.
Je resultaat begrijpen
- Validatie ondersteund door controles
- Het geldige geval werkt, het ongeldige wordt geweigerd en de aanvullende controle past bij validatie. Dat geldt voor deze resolver en testreeks.
- Ongeldig geval toch geaccepteerd
- De antwoorden ondersteunen geen normale afwijzing van de ongeldige handtekening. Lees ook de aanvullende controles voordat je beslist.
- Onvoldoende of tegenstrijdige antwoorden
- Onbereikbaarheid, ontbrekende gegevens of een falende controle laten de validatiestatus onbeslist.
Voor en na vergelijken
- Bewaar resolveradres, transport en alle controleantwoorden in dezelfde browser.
- Kies één andere resolver of verander één relevante DNS-instelling en voer dezelfde controles opnieuw uit.
- Vergelijk de volledige combinatie. Een wijziging van je browserinstelling betekent niet vanzelf dat de server nu die resolver bevraagt.
Wat deze test niet vaststelt
- DNSSEC controleert gegevensauthenticiteit; het verbergt DNS-vragen niet voor partijen op het pad.
- De testgevallen dekken niet ieder domein, iedere sleutelovergang of het volledige DNS-pad van je apparaat.
Wat kun je aanpassen?
- De ongeldige controle wordt geaccepteerd.
- Controleer het validatiebeleid van de gekozen resolver. Kies zo nodig een resolver met gedocumenteerde DNSSEC-validatie en herhaal alle controles.
- Ook het geldige geval mislukt.
- Controleer bereikbaarheid en transport voordat je een oordeel over validatie vormt. Een netwerkfout kan alle controlegevallen verstoren.
Veelgestelde vragen
Versleutelt DNSSEC mijn vragen?
Nee. Het controleert DNS-handtekeningen; vertrouwelijkheid vereist een afzonderlijk transportmechanisme.
Is dit automatisch mijn browserresolver?
Nee. De testserver bevraagt de gekozen resolver. Bevestig het browserpad afzonderlijk als je dat wilt beoordelen.