소개
이 문서에서는 확장 DNS 오류에 대한 Cisco Umbrella 지원에 대해 설명합니다.
사전 요구 사항
요구 사항
이 문서에 대한 특정 요건이 없습니다.
사용되는 구성 요소
이 문서의 정보는 Cisco Umbrella를 기반으로 합니다.
이 문서의 정보는 특정 랩 환경의 디바이스를 토대로 작성되었습니다. 이 문서에 사용된 모든 디바이스는 초기화된(기본) 컨피그레이션으로 시작되었습니다. 현재 네트워크가 작동 중인 경우 모든 명령의 잠재적인 영향을 미리 숙지하시기 바랍니다.
개요
Cisco Umbrella는 확장 DNS 오류에 대한 이 IETF 문서에 정의된 대로 EDE(Extended DNS Errors)에 대한 예비 지원을 발표했습니다.
Umbrella의 초기 지원은 SERVFAIL 응답에 대한 DNSSEC 오류 코드에 중점을 둡니다. Umbrella는 향후 다른 오류 코드 및 오류 코드의 텍스트 표현에 대한 지원을 추가할 계획입니다.
지원되는 오류 코드
| 코드 |
이름 |
지원 |
오류 발생 |
| 0 |
기타 |
아니요 |
|
| 1 |
지원되지 않는 DNSKEY 알고리즘 |
예 |
DNSKEY 알고리즘이 지원되지 않습니다. |
| 2 |
지원되지 않는 DS 다이제스트 유형 |
예 |
DS 다이제스트 유형이 지원되지 않음 |
| 3 |
오래된 대답 |
아니요 |
|
| 4 |
위조 대답 |
아니요 |
|
| 5 |
DNSSEC 미결정 |
아니요 |
|
| 6 |
DNSSEC 위조 |
예 |
- 모든 관련 레코드가 발견되고 검증이 실패한 경우(서명 해시가 일치하지 않음)
- RRSIG 서명자/소유자 불일치
- RRSIG가 잘못되었습니다.
- 음수 증명이 잘못된 NXDOMAIN입니다. NODATA가 필요하거나 그 반대의 경우도 마찬가지입니다.
- 서명된 영역에 도달했지만 위임 지점이 아닙니다.
|
| 7 |
서명 만료 |
예 |
RRSIG가 DNSKEY(keytag 및 알고리즘)와 일치하지만 서명이 만료되었습니다. |
| 8 |
서명이 아직 유효하지 않음 |
예 |
RRSIG는 DNSKEY(keytag 및 알고리즘)와 일치하지만 서명 시작 시간이 현재 이후입니다. |
| 9 |
DNSKEY 누락 |
예 |
DNSKEY와 일치하는 DS가 없습니다. |
| 10 |
RRSIG 누락 |
예 |
DNSKEY(keytag 및 알고리즘)와 일치하는 RRSIG를 찾을 수 없습니다. |
| 11 |
설정된 영역 키 비트 없음 |
예 |
DNSKEY에 영역 비트가 설정되지 않은 경우. |
| 12 |
NSEC 누락 |
예 |
부정적인 증거가 없거나 부족합니다. |
| 13 |
캐시된 오류 |
아니요 |
|
| 14 |
준비 안 됨 |
아니요 |
|
| 15 |
차단됨 |
아니요 |
|
| 16 |
검열 |
아니요 |
|
| 17 |
필터링됨 |
아니요 |
|
| 18 |
금지 |
아니요 |
|
| 19 |
부실 NXDOMAIN 응답 |
아니요 |
|
| 20 |
권한 없음 |
아니요 |
|
| 21 |
지원되지 않음 |
아니요 |
|
| 22 |
연결 가능한 권한 없음 |
아니요 |
|
| 23 |
네트워크 오류 |
아니요 |
|
| 24 |
잘못된 데이터 |
아니요 |
|
응답 예
확장 DNS 오류를 반환하는 쿼리는 OPT 코드 15를 사용하여 EDNS 섹션에 오류 코드를 표시할 수 있습니다. 예를 들어, 이 쿼리에서 반환되는 오류 코드는 6이며, 이는 "DNSSEC Bogus" 오류에 해당합니다.
; <<>> DiG 9.11.5-P4-5.1+deb10u1-Debian <<>> +dnssec +nocrypt bogus.d2a10n3.rootcanary.net @m81.sjc.opendns.com;; global options: +cmd;; Got answer:;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 63825;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1;; OPT PSEUDOSECTION:; EDNS: version: 0, flags: do; udp: 16384; OPT=15: 00 06 ("..");; QUESTION SECTION:;bogus.d2a10n3.rootcanary.net. IN A
피드백