Vous gérez une zone interne intégrée à AD, corp.contoso.com, hébergée sur DNS1. Vos serveurs DNS récursifs internes (DNS-REC1 et DNS-REC2) doivent valider les réponses pour cette zone même s'il n'y a pas de chaîne de confiance parente. Vous devez également empêcher l'énumération de zone. Quelles sont les deux actions à entreprendre ?

Pour valider les réponses DNSSEC sans chaîne de confiance parente, vous devez activer la validation DNSSEC sur les serveurs récursifs (DNS-REC1 et DNS-REC2) et ajouter une ancre de confiance pour la zone corp.contoso.com. L'ancre de confiance fournit aux serveurs récursifs le point de départ pour la validation cryptographique. Pour empêcher l'énumération de zone, il faut signer la zone corp.contoso.com avec DNSSEC en utilisant NSEC3. NSEC3 (Next Secure record version 3) obscurcit les noms de domaine existants, rendant l'énumération de zone plus difficile que NSEC classique. Publier un enregistrement DS dans une zone publique n'est pas pertinent pour une zone interne sans chaîne de confiance parente. Activer DNS over HTTPS (DoH) améliore la confidentialité mais ne contribue pas à la validation DNSSEC.