1. ルートゾーンKSK/日本では/e-ontap

1.1. blog

要点は以下です。
 DNSSEC 署名の検証は無効に 
 UDP サイズ制限は小さくすべき 
 TCP 53 が止められていないこと

構成の話として、ここの要点を先頭にまとめておくのがいいでしょう。

• 本文はその説明という形で。http://www.e-ontap.com/blog/20170807.html

-- ToshinoriMaeno 2017-08-07 06:57:03

総務省の書いていることがおかしいというのは議論なので、 混乱中のひとが簡単に理解できると思わない方がいい。

• 総務省はDNSSEC推進活動をしてきたのだろうか。興味がないので、知らないだけか。

総務省だけが問題なのではない。

• JPRSに始まり、JPNIC, NISC それぞれの注意におかしな点がある。

共通するのはDNSSECを使っていなくても影響がある（可能性がある）と言っていて、

• それがパケットのフラグメントが発生すると言っていること。（放置すれば、発生する可能性はなくはない。）

たとえ、パケットフラグメントが発生したとしても、それだけでDNS検索不能になるわけではない。

1.2. 無料セミナーの資料

DNSSECの仕組みとKSKロールオーバへの対応 http://www.e-ontap.com/dns/DNSSEC-seminar2017.pdf

---

1.3. 気になる言葉

「もっと異なるシンプルな問題回避策」

なんのことだろう。「総務省があやしげな報道発表」をするのが問題だとは思うのだが。

1.4. 私の理解

「DNSSECを使わない立場で、影響を受けないためには」こうするのがいい。という説明ですね。　

• 慌てて、リゾルバーをDNSSEC対応させようとすると、危ない。

UDPは512オクテットのままにしておいて、ednsは使わない。

• <長い返事はtruncatedになるので>リゾルバーは TCPで問い合わせなおす。

（DNSSECを使っていなければ、 問題なし）

これだけで十分でしょう。わからないのであれば、この10倍書いても分からせるのは無理かと。

-- ToshinoriMaeno 2017-08-07 07:00:26

どこかの画面でチェックを付けるだけで、DNSSEC対応になるとは思わない方がいい。