Zarządzasz wewnętrzną strefą zintegrowaną z AD, corp.contoso.com, hostowaną na DNS1. Twoje wewnętrzne rekurencyjne serwery DNS (DNS-REC1 i DNS-REC2) muszą walidować odpowiedzi dla tej strefy, mimo że nie istnieje łańcuch zaufania nadrzędnego. Musisz również zapobiec wyliczaniu strefy. Jakie dwie czynności należy wykonać?

Aby walidować odpowiedzi DNSSEC dla wewnętrznej strefy bez łańcucha zaufania nadrzędnego, należy podpisać strefę corp.contoso.com za pomocą DNSSEC. Użycie NSEC3 jest kluczowe, ponieważ utrudnia wyliczanie strefy (zone enumeration), co jest wymagane w pytaniu. Klasyczne NSEC pozwala na łatwe wyliczanie rekordów, więc jest nieodpowiednie. Następnie, na serwerach rekurencyjnych DNS-REC1 i DNS-REC2, należy włączyć walidację DNSSEC i dodać kotwicę zaufania (trust anchor) dla corp.contoso.com. Kotwica zaufania jest niezbędna, ponieważ brak jest nadrzędnego łańcucha zaufania (np. w publicznym DNS). Bez niej serwery rekurencyjne nie miałyby punktu odniesienia do weryfikacji podpisów. Opublikowanie rekordu DS w publicznej strefie jest niepotrzebne, ponieważ jest to strefa wewnętrzna bez publicznego łańcucha zaufania. DNS over HTTPS (DoH) zapewnia szyfrowanie komunikacji, ale nie walidację integralności danych DNS za pomocą DNSSEC.