目錄

簡介

必要條件

需求

採用元件

概觀

支援的錯誤代碼

響應示例

簡介

本檔案介紹思科對延伸型DNS錯誤的支援。

必要條件

需求

本文件沒有特定需求。

採用元件

本檔案中的資訊是根據Cisco Umbrella。

本文中的資訊是根據特定實驗室環境內的裝置所建立。文中使用到的所有裝置皆從已清除（預設）的組態來啟動。如果您的網路運作中，請確保您瞭解任何指令可能造成的影響。

概觀

Cisco Umbrella已宣佈對擴展DNS錯誤(EDE)提供初步支援，如本IETF文檔中有關擴展DNS錯誤的定義。

Umbrella的初始支援重點是SERVFAIL響應的DNSSEC錯誤代碼。Umbrella計畫將來增加對其他錯誤代碼的支援，以及錯誤代碼的文本表示方式。

支援的錯誤代碼

代碼

名稱

支援

遇到錯誤

0

其他

否

1

不受支援的DNSKEY演算法

是

不支援DNSKEY演算法。

2

不支援的DS摘要型別

是

不支援DS摘要型別

3

過時答案

否

4

偽造的答案

否

5

DNSSEC不確定

否

6

DNSSEC偽裝

是

- 如果找到所有相關記錄且驗證失敗（簽名雜湊不匹配）

- RSIG簽名者/所有者不匹配

- RRSIG無效

- 負證明無效NXDOMAIN預期找到NODATA，反之亦然

- 已到達簽名區域，但未到達委派點。

7

簽名已過期

是

RRSIG匹配的DNSKEY（金鑰標籤和演算法），但簽名已過期

8

簽名尚未生效

是

RRSIG匹配DNSKEY（金鑰標籤和演算法），但簽名開始時間在此之後。

9

缺少DNSKEY

是

找不到與DNSKEY匹配的DS。

10

缺少RSIG

是

找不到與DNSKEY（金鑰標籤和演算法）匹配的RRSIG。

11

未設定區域金鑰位

是

當DNSKEY未設定區域位時。

12

缺少NSEC

是

找不到負面的證明或證明不足。

13

快取錯誤

否

14

未就緒

否

15

已阻止

否

16

已審查

否

17

已篩選

否

18

禁止

否

19

過時的NXDOMAIN應答

否

20

非權威

否

21

不支援

否

22

沒有可達授權

否

23

網路錯誤

否

24

無效資料

否

響應示例

返回擴展DNS錯誤的查詢可使用OPT代碼15顯示EDNS部分中的錯誤代碼。例如，在此查詢中，返回的錯誤代碼為6，與「DNSSEC Bogus」錯誤相對應：

; <<>> DiG 9.11.5-P4-5.1+deb10u1-Debian <<>> +dnssec +nocrypt bogus.d2a10n3.rootcanary.net @m81.sjc.opendns.com;; global options: +cmd;; Got answer:;; ->>HEADER<<- opcode: QUERY, status: SERVFAIL, id: 63825;; flags: qr rd ra; QUERY: 1, ANSWER: 0, AUTHORITY: 0, ADDITIONAL: 1;; OPT PSEUDOSECTION:; EDNS: version: 0, flags: do; udp: 16384; OPT=15: 00 06 ("..");; QUESTION SECTION:;bogus.d2a10n3.rootcanary.net.  IN      A