Sie verwalten eine interne AD-integrierte Zone, corp.contoso.com, die auf DNS1 gehostet wird. Ihre internen rekursiven DNS-Server (DNS-REC1 und DNS-REC2) müssen Antworten für diese Zone validieren, obwohl es keine übergeordnete Vertrauenskette gibt. Sie müssen auch die Zonenaufzählung verhindern. Welche zwei Aktionen sollten Sie durchführen?

Um die Antworten für die interne Zone corp.contoso.com zu validieren und gleichzeitig die Zonenaufzählung zu verhindern, sind zwei Schritte erforderlich. Erstens muss die Zone corp.contoso.com mit DNSSEC signiert werden, wobei NSEC3 verwendet wird. NSEC3 (Next Secure Record 3) ist eine Erweiterung von DNSSEC, die die Zonenaufzählung erschwert, indem sie eine gehashte und gesalzene Liste von Zonennamen anstelle der alphabetischen Reihenfolge von NSEC verwendet. Zweitens muss auf den rekursiven DNS-Servern (DNS-REC1 und DNS-REC2) die DNSSEC-Validierung aktiviert und ein Trust Anchor für corp.contoso.com hinzugefügt werden. Da es keine übergeordnete Vertrauenskette gibt, ist ein manuell konfigurierter Trust Anchor notwendig, damit die rekursiven Server die DNSSEC-Signaturen der internen Zone validieren können. Das Veröffentlichen eines DS-Eintrags in der öffentlichen Zone ist für eine interne, nicht öffentlich delegierte Zone irrelevant. Das Signieren mit klassischem NSEC würde die Zonenaufzählung nicht verhindern. DNS over HTTPS (DoH) verschlüsselt DNS-Anfragen, bietet aber keine DNSSEC-Validierung.