DNS kontrol paneli bekleneni gösterse bile kimlik doğrulama araması başarısız olabilir TXT kaydı. Doğrulayıcı bir çözümleyicinin ayrıca cevabın güvenilir olup olmadığını da belirlemesi gerekir. Kırık DNSSEC zincir bu nedenle erişimi kesebilir SPF, DKIM veya görünür metinlerini değiştirmeden aktarım güvenliği verileri.
Belirtiyi nedenden ayırın
Referanslar: RFC 4035 §3.2.2, RFC 4035 §5.5.
Tam sahip adını, sorgu türünü, çözümleyiciyi, zamanı ve yanıtı yakalayın. SERVFAIL tek başına bir DNSSEC tanısı değildir. Zaman aşımları, erişilemeyen yetkililer ve diğer çözümleyici arızaları aynı yanıt kodunu üretebilir. Normal bir doğrulama sorgusunu aynı güvenilir çözümleyiciden gelen doğrulama tanılamalarıyla karşılaştırın ve yetkilendirme zincirini inceleyin.
Kullanarak bir sorgu kaz +dnssec DNSSEC kayıtlarını ister; Dig'i tam bir yerel doğrulayıcı yapmaz. Denetimi devre dışı bırakılmış bir sorgu, doğrulamanın reddettiği verileri ortaya çıkarmaya yardımcı olabilir, ancak doğrulamanın atlanmasıyla elde edilen bir yanıt, üretim bağımlılığının sağlıklı olduğunun kanıtı değildir. Bu teşhis sonucunu sıradan uygulamanın sonucundan ayrı tutun.
Ebeveyn ve çocuğu birlikte takip edin
Referanslar: RFC 4035 §5, RFC 7208 §4.6.2, RFC 6376 §6.1.2, RFC 7672 §2.1.
Ana DS'yi, alt DNSKEY'i, istenen kayıtları kapsayan imzaları ve bunların geçerlilik aralıklarını inceleyin. Doğrulayıcının saatini ve güven yapılandırmasını kontrol edin. Anahtar değişiminden sonra eski bir ana DS, süresi dolmuş imzalar veya kullanılamayan DNSKEY verileri, farklı onarımlar gerektiren farklı arızalardır. DS'nin bulunmadığına dair kimliği doğrulanmış kanıta sahip, kasıtlı olarak imzalanmamış bir delegasyon otomatik olarak sahte değil, güvensizdir.
E-posta için etkilenen uygulamanın ne yaptığını kaydedin. Bir SPF DNS hatası şunlara yol açabilir: temperror; DKIM arama hatası mesajın sahte olduğunu kanıtlamaz. SMTP DANE kimlik doğrulaması gerektiğinde daha katı taşıma sonuçlarına sahiptir TLSA veriler doğrulanamıyor. Bu sonuçları, DNSSEC tüm postaları reddettiği yönündeki evrensel bir iddiaya indirgemeyin.
Kontrollü bir arıza ve onarım fikstürü kullanın
Referanslar: RFC 4035 §5.2, RFC 6698 §2.1.
Tek kullanımlık bir hiyerarşide imzalayın mailtest.example A anahtarıyla ve eşleşen ebeveyn DS'yi yükleyin. MX sorgulayın ve _25._tcp.mx.mailtest.example Test üst öğesine bağlı bir doğrulayıcı aracılığıyla TLSA. Güvenli temeli, DNSKEY setini, DS'yi ve imza sürelerini kaydedin. A'nın DS'sini bilinçli olarak ebeveynde bırakarak alt anahtarı B ile değiştirin. Beklenen sonuç, zararsız, imzasız bir geçiş değil, başarısız doğrulamadır.
Uyumlu bir imzalı zinciri geri yükleyin ve önbelleğe alınan yetkilendirmeyi ve anahtar materyali hesaba kattıktan sonra aynı sorguları tekrarlayın. Bir sertifikanın DER SubjectPublicKeyInfo SHA-256'sını bir sertifikayla karşılaştırın. 3 1 1 TLSA ilişkilendirmesi ayrı olarak: eşleşen baytlar bozuk bir DNS zincirini onarmaz. Bu, çözümleyici ve SMTP davranışını belirtir; aşağıdaki tutulan çevrimdışı şifreleme denetimleri bu ağ yollarını yürütmez.
Olayı sınırlı delillerle kapatın
Referanslar: RFC 6781 §4.3.5.
Yetkili DNS operatörü aracılığıyla gerçek zincir veya imzalama hatasını onarın. Doğaçlama bir evrensel geçici çözüm olarak DS verilerini kaldırmayın; bu korumayı değiştirir ve önbelleğe bağlı sonuçları vardır. Yetkili sunuculardan ve ilgili doğrulama yollarından gelen önceki ve sonraki yanıtları saklayın ve ardından etkilenen posta akışını test edin. Kapanışta, zaman damgaları ve kalan kapsam sınırlarıyla birlikte hangi adların doğrulandığı ve hangi posta testlerinin başarılı olduğu belirtilmelidir.
İzole doğrulama kanıtlarının saklanması
Referanslar: RFC 4035 §5.
7 Kasım 2026'da tutulan, denetlenen ancak bu inceleme için yeniden çalıştırılmayan sentetik laboratuvarı, sabitlenmiş bir test üst öğesi DNSKEY'e karşı dnspython 2.9.2 şifreleme kontrollerini gerçekleştirdi. Ana DNSKEY ve DS imzalarını doğruladı, alt DNSKEY'i kimliği doğrulanmış DS ile eşleştirdi ve alt DNSKEY ve TLSA imzalarını doğruladı. Uyumlu temel ve geri yüklenen zincir doğrulandı. Yalnızca eski üst DS'nin altındaki yalnızca yeni alt anahtar, açık DS eşleşmesinde başarısız oldu. İzleme, DS, DNSKEY, RRSIG, doğrulama dönemini ve her kontrolü korur. Bu, özyinelemeli çözümleyicinin SERVFAIL izlemesi veya canlı posta kesintisi değil, çevrimdışı imzalı zincir doğrulamasıdır. Yerel sertifika anahtarı karşılaştırmaları ayrı olarak tutulur; üretim ve SMTP sonuçları henüz test edilmemiştir.