DNSSEC powoduje błędy rozpoznawania

DNSSEC powoduje błędy rozpoznawania (walidacja odrzuca poprawne odpowiedzi) wskazuje na resolver DNS z rygorystyczną walidacją napotykający błędnie skonfigurowaną domenę docelową.

DNSSEC powoduje błędy rozpoznawania — co oznacza ten komunikat

Określenie „DNSSEC powoduje błędy rozpoznawania” odnosi się do sytuacji, w której nazwa domeny nie zostaje przetłumaczona na adres IP, ponieważ odpowiedź DNS nie przechodzi kontroli kryptograficznej. DNSSEC, czyli rozszerzenie systemu DNS o mechanizmy uwierzytelniania, pozwala sprawdzić, czy otrzymane dane dotyczące domeny są kompletne i pochodzą z właściwego źródła. Resolver prowadzący walidację nie powinien przyjmować odpowiedzi, której podpis cyfrowy jest nieprawidłowy, wygasł, nie pasuje do klucza domeny albo nie daje się powiązać z nadrzędnym łańcuchem zaufania.

W praktyce może to wyglądać jak całkowity brak dostępu do jednej witryny, mimo że inne strony otwierają się prawidłowo. Przeglądarka może wyświetlić komunikat o błędzie DNS, niemożności odnalezienia serwera lub braku bezpiecznego połączenia. Sam serwer WWW może działać poprawnie, a problem powstaje wcześniej, podczas sprawdzania informacji potrzebnych do odnalezienia tego serwera. Z tego powodu zwykłe ponowne uruchomienie przeglądarki nie zawsze przynosi efekt.

Jak walidacja DNSSEC różni się od zwykłego rozpoznawania domeny

W tradycyjnym zapytaniu DNS resolver otrzymuje między innymi rekord adresowy domeny i ocenia głównie to, czy odpowiedź nadeszła z oczekiwanego miejsca. Przy włączonej walidacji DNSSEC analizowane są dodatkowe rekordy zawierające klucze publiczne, podpisy oraz informacje o delegowaniu zaufania. Poprawna odpowiedź musi być zgodna z tym łańcuchem. Jeżeli domena wskazuje na podpisaną strefę, ale brakuje wymaganego podpisu, rekord klucza jest niespójny lub dane zostały zmienione przed zakończeniem walidacji, resolver może zwrócić status wskazujący na błąd bezpieczeństwa zamiast adresu IP.

Znaczenie ma również czas. Podpis DNSSEC obowiązuje w określonym przedziale, dlatego nieprawidłowy czas systemowy urządzenia, resolvera albo serwera pośredniczącego może utrudnić ocenę ważności odpowiedzi. Problem może pojawić się także podczas zmiany operatora domeny, wymiany kluczy, odświeżania strefy lub aktualizacji rekordów w kilku współpracujących systemach. Wtedy część resolverów może mieć jeszcze starsze dane zapisane w pamięci podręcznej, a część pobierać już nową wersję.

Do rozróżnienia przyczyny można wykorzystać zapytania z walidacją oraz bez walidacji, sprawdzić status domeny u kilku niezależnych resolverów i porównać rekordy DNSSEC. Pomocne jest również ustalenie, czy błąd występuje tylko w jednej sieci, na jednym urządzeniu, czy u wielu użytkowników. Taki zakres pozwala oddzielić awarię lokalnej konfiguracji od błędu po stronie domeny lub jej operatora.

Typowe problemy prowadzące do odrzucenia odpowiedzi DNS

Najczęstszą przyczyną jest niespójność między rekordem DS zapisanym przy domenie nadrzędnej a kluczem opublikowanym w strefie domeny. Taka sytuacja bywa skutkiem niepełnej zmiany kluczy albo usunięcia jednego z rekordów bez odpowiedniego przygotowania pozostałych elementów. W efekcie resolver widzi informację, że domena powinna być zabezpieczona, lecz nie może potwierdzić jej odpowiedzi.

Inny scenariusz obejmuje nieaktualny lub błędny podpis RRSIG. Podpis może obejmować rekord, który został zmieniony bez ponownego podpisania strefy, albo może mieć termin ważności już zakończony. Błędy mogą dotyczyć także delegacji, rekordów pośrednich, podpisanych odpowiedzi negatywnych oraz relacji między strefą nadrzędną i podrzędną. Nie zawsze oznacza to włamanie; często jest to skutek operacji administracyjnej wykonanej w niewłaściwej kolejności.

Po stronie użytkownika warto sprawdzić ustawienia używanego resolvera, lokalną pamięć DNS, czas systemowy, konfigurację routera i wpływ programów filtrujących ruch sieciowy. Czasem problem jest widoczny tylko przy korzystaniu z konkretnej sieci, ponieważ jej resolver ma uszkodzony cache, nie obsługuje poprawnie walidacji albo pobrał niespójne dane. Jeżeli zmiana resolvera chwilowo przywraca dostęp, nie musi to oznaczać usunięcia źródłowej usterki w samej domenie.

Nie należy wyłączać walidacji DNSSEC jako pierwszego i stałego rozwiązania. Może to ominąć objaw, ale jednocześnie pozbawić połączenie ważnej kontroli autentyczności odpowiedzi DNS. Bezpieczniej jest zebrać komunikaty błędów, zanotować moment wystąpienia problemu, sprawdzić kilka domen oraz ustalić, czy niedostępność jest powtarzalna.

Kiedy warto zgłosić sprzęt do serwisu - DNSSEC powoduje błędy rozpoznawania

Zgłoszenie do serwisu jest uzasadnione, gdy błąd DNSSEC powtarza się na jednym laptopie mimo prawidłowego działania innych urządzeń, pojawia się po zmianie routera lub konfiguracji sieci, albo towarzyszą mu problemy z wieloma domenami. W ramach diagnostyki można przeanalizować ustawienia TCP/IP, resolver wskazany przez system, pamięć podręczną DNS, czas urządzenia, reguły zapory oraz działanie lokalnych filtrów. Pozwala to określić, czy przyczyna znajduje się w laptopie, domowej sieci, czy poza nią.

Jeżeli ta sama domena nie działa na różnych urządzeniach i w kilku sieciach, prawdopodobieństwo usterki lokalnej jest mniejsze. W takim przypadku można przygotować dane przydatne administratorowi domeny: dokładny komunikat, czas wystąpienia, użyty resolver oraz wyniki porównawczych zapytań. Gdy problem dotyczy konfiguracji urządzenia, w serwisie dostępna jest darmowa diagnoza LAPTOPA, która może objąć sprawdzenie ustawień sieciowych i odtworzenie warunków występowania błędu.

Do zgłoszenia warto dołączyć nazwę niedostępnej domeny, informację, czy inne strony działają, oraz wskazanie, czy błąd występuje wyłącznie w jednej sieci. Tak przygotowany opis ogranicza ryzyko pomylenia problemu DNSSEC z awarią połączenia internetowego, błędnym adresem serwera, blokadą zapory lub usterką samej przeglądarki.