DNSSEC-i kontroll
Pärime ülemtsooni DS-kirjed, tsooni DNSKEY-komplekti ja selle allkirjad ning küsime valideerivalt resolverilt, kas vastus valideerub.
DNSSEC võimaldab resolveril kontrollida, et DNS-i vastus pärineb tõesti tsooni omanikult. See töötab usaldusahelana: ülemtsoon (näiteks .ee) avaldab DS-kirje, mis on tsooni võtmete allkirjastamise võtme sõrmejälg; tsoon avaldab oma võtmed DNSKEY-kirjetena ja allkirjastab oma andmed RRSIG-kirjetega; valideeriv resolver järgib ahelat juurest allapoole ja seab vastustele, mida ta suutis kontrollida, AD-lipu.
See kontroll pärib ülemtsoonist DS-kirjed, DNSKEY-komplekti ja selle allkirjad ning küsib meie resolverilt, kas vastus valideerus. Lisaks kontrollib see, kas DS-kirje võtme tunnus vastab mõnele tsoonis olevale võtmele — see läheb kõige sagedamini katki võtmete vahetamisel või domeeni kolimisel uue DNS-teenuse pakkuja juurde.
Tsoon .ee on allkirjastatud (selle DS-kirje on juurtsoonis) ja nii ka mõned Eesti domeenid — eesti.ee ja riik.ee avaldavad DS-kirje, internet.ee ja ut.ee mitte (kontrollitud 9.11.2026). Allkirjastamata domeen pole katki; see pole lihtsalt kaitstud võltsitud vastuste eest.
Korduma kippuvad küsimused
Mida tähendab „allkirjastatud, kuid ei valideeru”?
Ülemtsoon avaldab DS-kirjed, kuid resolver ei aktsepteerinud tsooni allkirju. Valideerivad resolverid vastavad siis SERVFAIL ja domeen võib nende kasutajate jaoks kaduda. Sage põhjus on DS-kirje, mis jäi alles pärast kolimist teiste võtmetega DNS-teenuse pakkuja juurde.
Kas mul on DNSSEC-i vaja?
See kaitseb võltsitud DNS-vastuste (puhvri mürgitamise) eest ja on mõne turvamehhanismi, näiteks DANE eeltingimus. Seda peavad toetama nii sinu DNS-teenuse pakkuja kui ka registripidaja.
Miks www.example.ee tulemus räägib domeenist example.ee?
DNSSEC seadistatakse tsooni kaupa. Tsooni sees olevat hostinime katavad selle tsooni võtmed, seega annab kontroll aru nime sisaldava tsooni kohta.