Usted administra una zona interna integrada con AD, corp.contoso.com, alojada en DNS1. Sus servidores DNS recursivos internos (DNS-REC1 y DNS-REC2) deben validar las respuestas para esta zona, aunque no haya una cadena de confianza principal. También necesita evitar la enumeración de zonas. ¿Qué dos acciones debe realizar?

Para validar las respuestas de una zona interna integrada con AD sin una cadena de confianza principal, debe habilitar DNSSEC en los servidores recursivos (DNS-REC1 y DNS-REC2) y agregar un ancla de confianza (Trust Anchor) para la zona corp.contoso.com. Esto permite que los servidores validen las firmas DNSSEC directamente. Para evitar la enumeración de zonas, debe firmar corp.contoso.com con DNSSEC utilizando NSEC3. NSEC3 ofusca los nombres de dominio existentes, a diferencia de NSEC clásico que permite la enumeración. Publicar un registro DS en una zona pública no es relevante para una zona interna sin una cadena de confianza pública. DNS over HTTPS (DoH) es para cifrado de transporte, no para validación de integridad de datos.