Balou Tools

DNS · Schweregrad kritisch

DNSSEC „bogus“: Signatur- und DS-Fehler diagnostizieren

Ein validierender Resolver verwirft DNSSEC-Antworten, wenn die kryptografische Kette vom Parent-DS bis zum signierten RRset nicht stimmt.

Typisches Symptom

Die Domain funktioniert bei nicht validierenden Resolvern, liefert bei validierenden Resolvern aber SERVFAIL.

Auswirkung

Ein Teil der Nutzer kann Website, API oder Mail nicht erreichen. Der Fehler wirkt wie ein zufälliger DNS-Ausfall, ist aber reproduzierbar.

Häufige Ursachen

  • DS beim Registrar zeigt auf einen alten KSK.
  • RRSIG ist abgelaufen oder noch nicht gültig.
  • Algorithmus, Key Tag oder Digest stimmen nicht.
  • Eine signierte Zone wurde ohne koordinierte DS-Änderung migriert.

Diagnose in sinnvoller Reihenfolge

  1. Verfolge die Vertrauenskette vom Root über TLD bis zur Zone.
  2. Vergleiche Parent-DS mit aktuellem DNSKEY.
  3. Prüfe RRSIG-Zeitfenster und Uhrzeit der Signer.
  4. Teste mit einem validierenden Resolver.

Behebung

  1. Aktualisiere oder entferne den DS kontrolliert beim Registrar.
  2. Signiere die Zone mit dem erwarteten Schlüssel neu.
  3. Plane Key-Rollover mit Überlappung und überwache beide Seiten der Delegation.

Fix verifizieren

  • Erwarte eine validierte NOERROR-Antwort statt SERVFAIL.
  • Prüfe mehrere Record-Typen und Resolver nach TTL-Ablauf.

Primärquellen

Die Quellen definieren Protokoll oder Plattformverhalten. Die Diagnose- und Umsetzungshinweise sind eine eigenständige technische Einordnung von Balou Tools.