DNSSEC: подпись child-зоны не заменяет правильный DS у parent
Фотография конкретного исполнения не приложена.
Зона может содержать DNSKEY и подписи, но не проходить validation у внешних клиентов. Для защищённой делегации важна связь с родительской зоной. Исправление только локального signer не гарантирует восстановление цепочки.
RFC 4034 и RFC 4035 связывают DS у parent с соответствующим DNSKEY child. Это разные наборы данных с разными владельцами публикации. Наличие public key в child-зоне не позволяет автоматически считать, что parent уже доверяет именно ему.
При смене оператора или ключа нужно учитывать оба контекста и кэшированное состояние. Также digest вычисляется по предусмотренному представлению, включая имя. Похожий key tag в интерфейсе не является достаточным доказательством правильного соответствия DS и ключа.
В приёмке сопоставляют текущие parent DS, child DNSKEY и signatures по полной validation path. Проверяют разные authoritative endpoints. Отчёт должен показывать всю связь. Успешная локальная проверка подписи собственной зоны не подтверждает, что обычный validating resolver сможет построить доверие от своего trust anchor до нужного ответа.
Основание — Numbered DNSSEC chain, denial, key lifecycle and zone-integrity references with selected explicit updates, разделы RFC4034 DS and DNSKEY records; RFC4035 Authentication of DNSKEY RRset and delegation. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — указанные номерные RFC DNSSEC и целостности DNS-зон. Это разбор механизмов, а не полный актуальный профиль algorithms. Реальные signer, resolver, trust anchors, parent policy и ключи не проверялись; DNS-запросы, публикация zones и изменения делегации не выполнялись.
