Gestisci una zona integrata in AD interna, corp.contoso.com, ospitata su DNS1. I tuoi server DNS ricorsivi interni (DNS-REC1 e DNS-REC2) devono convalidare le risposte per questa zona anche se non esiste una catena di trust padre. Devi anche impedire l'enumerazione della zona. Quali due azioni dovresti intraprendere?

Per convalidare le risposte DNSSEC senza una catena di trust padre, è necessario abilitare la convalida DNSSEC sui server DNS ricorsivi (DNS-REC1 e DNS-REC2) e aggiungere un trust anchor per la zona corp.contoso.com. Questo fornisce ai server ricorsivi la chiave pubblica necessaria per autenticare le risposte per quella zona specifica. Per impedire l'enumerazione della zona, è essenziale firmare corp.contoso.com con DNSSEC utilizzando NSEC3. NSEC3 (Next Secure record version 3) è stato progettato per mitigare l'enumerazione delle zone, a differenza di NSEC classico che può essere utilizzato per enumerare i record di una zona. Pubblicare un record DS nella zona pubblica contoso.com non è applicabile qui poiché si tratta di una zona interna senza una catena di trust padre. DNS over HTTPS (DoH) fornisce la crittografia per le query DNS, ma non la convalida DNSSEC.