Todennushaku voi epäonnistua, vaikka DNS ohjauspaneeli näyttää odotetun TXT tietue. Validoivan ratkaisijan on myös selvitettävä, onko vastaus luotettava. Rikkinäinen DNSSEC ketju voi siksi katkaista pääsyn SPF, DKIM tai kuljetusturvatietoja muuttamatta niiden näkyvää tekstiä.
Erota oire syystä
Viitteet: RFC 4035 §3.2.2, RFC 4035 §5.5.
Tallenna tarkka omistajan nimi, kyselytyyppi, ratkaisija, aika ja vastaus. SERVFAIL ei ole DNSSEC diagnoosi sinänsä. Aikakatkaisut, tavoittamattomat viranomaiset ja muut ratkaisijavirheet voivat tuottaa saman vastauskoodin. Vertaa normaalia vahvistuskyselyä vahvistusdiagnostiikkaan samasta luotettavasta ratkaisijasta ja tarkasta delegointiketju.
Kysely käyttää dig +dnssec pyytää DNSSEC tietueita; se ei tee digistä täydellistä paikallista validaattoria. Tarkistuksen estetty kysely voi auttaa paljastamaan tietoja, jotka validointi hylättiin, mutta vastaus, joka on saatu ohitetulla vahvistuksella, ei ole todiste siitä, että tuotantoriippuvuus on terve. Pidä diagnoositulos erillään tavallisen sovelluksen tuloksista.
Jäljitä vanhempi ja lapsi yhdessä
Viitteet: RFC 4035 §5, RFC 7208 §4.6.2, RFC 6376 §6.1.2, RFC 7672 §2.1.
Tarkista ylätason DS, ali DNSKEY, pyydetyt tietueet kattavat allekirjoitukset ja niiden voimassaolovälit. Tarkista validaattorin kello ja luottamusasetukset. Vanhentunut ylätason DS avaimen vaihdon jälkeen, vanhentuneet allekirjoitukset tai DNSKEY-tiedot, joita ei ole saatavilla, ovat erilaisia vikoja, jotka vaativat erilaisia korjauksia. Tarkoituksella allekirjoittamaton delegaatio, jossa on todennettu todistus siitä, ettei DS:ää ole, on epävarma, ei automaattisesti väärä.
Kirjoita sähköpostiin, mitä kyseinen toteutus teki. SPF DNS -virhe voi johtaa temperror; DKIM -hakuvirhe ei vahvista, että viesti on väärennetty. SMTP DANE sillä on tiukemmat kuljetusseuraukset, kun vaaditaan todennus TLSA tietoja ei voida vahvistaa. Älä tiivistä näitä tuloksia yleiseksi väitteeksi, jonka mukaan DNSSEC hylkää kaiken sähköpostin.
Käytä kontrolloitua katko- ja korjauslaitetta
Viitteet: RFC 4035 §5.2, RFC 6698 §2.1.
Kertakäyttöisessä hierarkiassa, allekirjoita mailtest.example avaimella A ja asenna vastaava ylätason DS. Kysy sen MX ja _25._tcp.mx.mailtest.example TLSA testin yläpäähän ankkuroidun validaattorin kautta. Tallenna suojattu perusviiva, DNSKEY-sarja, DS ja allekirjoitusajat. Korvaa lapsiavain B:llä jättäen samalla vain A:n DS vanhemmalle. Odotettu tulos on epäonnistunut validointi, ei vaaraton allekirjoittamaton siirtymä.
Palauta yhteensopiva allekirjoitettu ketju ja toista samat kyselyt välimuistiin tallennetun delegoinnin ja avainmateriaalin huomioimisen jälkeen. Vertaa varmenteen DER SubjectPublicKeyInfo SHA-256:ta a 3 1 1 TLSA-yhteys erikseen: vastaavat tavut eivät korjaa katkennutta DNS ketjua. Tämä määrittää ratkaisejan ja SMTP käyttäytymisen; alla olevat säilytetyt offline-salauksen tarkistukset eivät suorita näitä verkkopolkuja.
Lopeta tapaus rajoitetuilla todisteilla
Viitteet: RFC 6781 §4.3.5.
Korjaa todellinen ketju- tai allekirjoitusvirhe valtuutetun DNS operaattorin kautta. Älä poista DS-tietoja improvisoituna yleisenä ratkaisuna. joka muuttaa suojausta ja sillä on välimuistista riippuvia seurauksia. Säilytä ennen ja jälkeen -vastaukset arvovaltaisilta palvelimilta ja asianmukaiset vahvistuspolut ja testaa sitten vaikuttanut sähköpostivirta. Sulkemisen tulee kertoa, mitkä nimet vahvistettiin ja mitkä postitestit onnistuivat, sekä aikaleimat ja jäljellä olevat peittorajoitukset.
Säilytetty yksittäisiä validointitodisteita
Viitteet: RFC 4035 §5.
Säilytetty 7. marraskuuta 2026 synteettinen laboratorio, joka tarkastettiin, mutta sitä ei suoritettu uudelleen tätä tarkistusta varten, suoritti dnspython 2.9.2 -salauksen tarkistukset kiinnitettyyn DNS-avaimeen verrattuna. Se vahvisti emo-DNSKEY- ja DS-allekirjoitukset, sovitti ali-DNSKEY:n todennettuun DS:ään ja vahvisti ali-DNSKEY- ja TLSA-allekirjoitukset. Yhteensopiva perusviiva ja palautettu ketju validoitu. Vain uusi lapsiavain vanhan emo-DS:n alla epäonnistui eksplisiittisessä DS-osumassa. Jäljitys säilyttää DS:n, DNSKEY:n, RRSIG:n, validointijakson ja jokaisen tarkistuksen. Tämä on offline-allekirjoitetun ketjun vahvistus, ei rekursiivinen ratkaisijan SERVFAIL jäljitys tai live-postikatkos. Paikalliset varmenneavainvertailut säilytetään erikseen; tuotanto- ja SMTP tuloksia ei ole testattu.