Čo vám tento test povie
DNS Security Extensions čiže DNSSEC umožňujú resolverom overovať podpísané údaje DNS. Tento test zisťuje, či vybraný resolver odmietne zámerne neplatný podpis. Týka sa to pravosti a integrity odpovedí DNS; nešifruje dopyty ani neurčuje, ktorý resolver prehliadač bežne používa.
Ako spustiť test
- Zadajte adresu resolvera, ktorý chcete testovať, a medzi porovnaniami ponechajte vybraný port DNS nezmenený.
- Spustite kontroly pre platnú podpísanú doménu a zámerne neplatnú doménu.
- Porovnajte neplatnú doménu so zapnutou a vypnutou kontrolou spolu s kontrolným výsledkom platnej domény.
Ako funguje meranie
Náš server posiela vybranému resolveru natívne dopyty DNS pomocou UDP a v prípade potreby náhradného TCP. Žiada záznamy DNSSEC a opakuje neplatný prípad s bitom Checking Disabled.
Tieto požiadavky pochádzajú zo siete servera. Kontaktuje sa vybraný resolver a infraštruktúra DNS kontrolnej domény; test automaticky nezisťuje poskytovateľa DNS-over-HTTPS vášho prehliadača.
Ako porozumieť výsledkom
- Overovanie potvrdené
- Platná kontrola vracia údaje, neplatná doména pri zapnutej kontrole zlyhá a pri vypnutej kontrole vracia údaje. Spoločne to podporuje záver o overovaní podpisov.
- Overovanie chýba
- Resolver pri zapnutej kontrole vracia údaje pre zámerne neplatný podpis. V tomto teste túto neplatnú odpoveď neodmietol.
- Neurčité
- Časové limity, odmietnutie, neúspešná platná kontrola alebo nekonzistentné odpovede bránia spoľahlivému záveru. Samotné zlyhanie nedokazuje overovanie.
Porovnanie pred a po
- Uložte resolver, port, výsledky kontrol a podrobnosti odpovedí ako východiskový stav.
- Zmeňte jeden resolver alebo nastavenie overovania a zopakujte rovnaké kontroly v tomto nástroji.
- Porovnajte všetky tri výsledky spoločne. Ak zmeníte nastavenia DNS zariadenia, uistite sa, že tu testovaný resolver je ten, ktorý ste chceli posúdiť.
Limity testu
- Výsledky môžu ovplyvniť sieťové obmedzenia medzi serverom a resolverom.
- Príznak overených údajov pridáva kontext, ale hlavný dôkaz poskytuje riadené porovnanie platnej a neplatnej odpovede.
Čo v prípade potreby zmeniť
- Neplatné podpisy sa prijímajú
- Ak resolver spravujete, skontrolujte nastavenia overovania; inak zvážte zdokumentovaný overujúci resolver a test zopakujte.
- Aj platná kontrola zlyhá
- Pred pripísaním zlyhania DNSSEC skontrolujte dostupnosť resolvera a prístup k portu DNS.
Často kladené otázky
Skrýva DNSSEC moje dopyty DNS?
Nie. DNSSEC kontroluje podpísané odpovede. Šifrované prenosy DNS riešia inú časť pripojenia.
Zahŕňa pozitívny výsledok DNS prehliadača?
Iba ak prehliadač skutočne používa testovaný resolver. Nastavenia zabezpečeného DNS môžu vybrať inú službu.