目录

简介

先决条件

要求

使用的组件

概述

支持的错误代码

响应示例

简介

本文档介绍Cisco Umbrella对扩展DNS错误的支持。

先决条件

要求

本文档没有任何特定的要求。

使用的组件

本文档中的信息基于Cisco Umbrella。

本文档中的信息都是基于特定实验室环境中的设备编写的。本文档中使用的所有设备最初均采用原始（默认）配置。如果您的网络处于活动状态，请确保您了解所有命令的潜在影响。

概述

Cisco Umbrella宣布初步支持扩展DNS错误(EDE)，如此IETF文档中有关扩展DNS错误的定义所述。

Umbrella的初始支持重点是SERVFAIL响应的DNSSEC错误代码。Umbrella计划增加对其他错误代码的支持，以及错误代码的文本表示方式。

支持的错误代码

代码

名称

受支持

遇到错误

0

Other（其他）

无

1

不支持的DNSKEY算法

Yes

不支持DNSKEY算法。

2

不支持的DS摘要类型

Yes

不支持DS摘要类型

3

过时的答案

无

4

伪造的答案

无

5

DNSSEC不确定

无

6

DNSSEC伪造

Yes

- 如果找到所有相关记录，但验证失败（签名哈希不匹配）

- RRSIG签名者/所有者不匹配

- RRSIG无效

- 负证明无效NXDOMAIN预期找到的NODATA，反之亦然

- 已到达签名区域，但未到达委派点。

7

签名已过期

Yes

RRSIG匹配DNSKEY（密钥标签和算法），但签名已过期

8

签名尚未生效

Yes

RRSIG与DNSKEY（密钥标签和算法）匹配，但签名开始时间在此之后。

9

缺少DNSKEY

Yes

找不到与DNSKEY匹配的DS。

10

缺少RRSIG

Yes

找不到与DNSKEY（密钥标签和算法）匹配的RRSIG。

11

未设置区域密钥位

Yes

当DNSKEY没有设置区域位时。

12

缺少NSEC

Yes

找不到负面的证明或证明不足。

13

缓存的错误

无

14

未就绪

无

15

已阻止

无

16

已审查

无

17

已过滤

无

18

禁止

无

19

过时的NXDOMAIN应答

无

20

未授权

无

21

Not Supported

无

22

无可访问授权

无

23

网络错误

无

24

无效的数据

无

响应示例

返回扩展DNS错误的查询可以使用OPT代码15在EDNS部分中显示错误代码。例如，在此查询中，返回的错误代码为6，与“DNSSEC Bogus”错误相对应：

; <<>> DiG 9.11.5-P4-5.1+deb10u1-Debian <<>> +dnssec +nocrypt bogus.d2a10n3.rootcanary.net @m81.sjc.opendns.com;; global options: +cmd;; Got answer:;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 63825;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1;; OPT PSEUDOSECTION:; EDNS: version: 0, flags: do; udp: 16384; OPT=15: 00 06 ("..");; QUESTION SECTION:;bogus.d2a10n3.rootcanary.net.  IN      A