DNS1 üzerinde barındırılan, AD ile entegre edilmiş dahili bir bölge olan corp.contoso.com'u yönetiyorsunuz. Dahili özyinelemeli DNS sunucularınız (DNS-REC1 ve DNS-REC2), üst güven zinciri olmamasına rağmen bu bölgeye yönelik yanıtları doğrulamalıdır. Ayrıca bölge numaralandırmasını da engellemeniz gerekiyor. Hangi iki eylemi gerçekleştirmelisiniz?

Bölge numaralandırmasını engellemek için NSEC3 (Next Secure) kayıtları kullanılır. NSEC3, bölgedeki tüm kayıtların karma değerlerini (hash) kullanarak bölge içeriğini gizler ve bu sayede bölge numaralandırmasını zorlaştırır. Bu nedenle, corp.contoso.com'u NSEC3 ile DNSSEC kullanarak imzalamak, numaralandırmayı azaltır. Dahili özyinelemeli DNS sunucularının (DNS-REC1 ve DNS-REC2) yanıtları doğrulaması için DNSSEC doğrulamasının etkinleştirilmesi ve corp.contoso.com için bir güven çapası (trust anchor) eklenmesi gerekir. Güven çapası, DNSSEC doğrulama zincirinin başlangıç noktasıdır ve sunucuların bölgenin geçerliliğini kontrol etmesini sağlar. Üst güven zinciri olmamasına rağmen doğrulama sağlamanın tek yolu budur. Genel contoso.com bölgesinde DS kaydı yayınlamak, yalnızca genel bir bölge için geçerlidir ve dahili, AD ile entegre bir bölge için uygun değildir. Klasik NSEC