DNSSEC中ZSK滚动与RRSIG有效性的关联咨询

嘿，这个问题问得特别到位，刚接触DNSSEC的朋友大多都会在这俩概念上绕晕，我来给你掰扯清楚～

首先得先把两个核心概念的边界划明白：

• ZSK（区域签名密钥）：这是用来给域名里的普通资源记录（比如A、MX、TXT这些）以及自身DNSKEY条目签名的密钥，它有自己的生命周期（通常是几个月，看你的安全策略）。
• RRSIG：就是每条资源记录对应的签名文件，它的有效期是你生成签名时设定的时间段，过了这个时间，递归DNS服务器就会判定这个签名无效，拒绝接受对应的记录。

然后来解答你的两个疑问：

疑问1：RRSIG过期是不是必须用新ZSK重新签名？ #

完全不用！RRSIG过期只代表这个签名本身失效了，你完全可以用当前正在使用的同一个ZSK重新给资源记录做签名，生成一个新的、有效期符合你要求的RRSIG就行。简单说，ZSK是“签名工具”，RRSIG是“用工具签出来的字”，字过期了，换张纸用同一个工具再签一次就行，不用换工具。

疑问2：RRSIG有效期短（比如2天）意味着ZSK每2天就要滚动？ #

绝对不是！短有效期的RRSIG和ZSK滚动是完全独立的两件事：

• 为什么要设短的RRSIG有效期？主要是为了降低安全风险——如果ZSK不幸泄露，攻击者能用它伪造的签名有效期越短，危害持续的时间就越短；另外，如果你域名的记录经常更新，短有效期也能让递归服务器更快获取到新的签名记录，不用等旧签名过期。
• ZSK滚动的触发时机一般是：ZSK到了预设的生命周期（比如6个月）、怀疑密钥可能泄露，或者出于合规要求需要更换密钥。滚动的时候会生成新ZSK，并且保留旧ZSK一段时间（重叠期），确保全网递归服务器都同步到新的DNSKEY后，再用新ZSK重新签名所有记录，最后撤销旧ZSK。

举个直观的例子：假设你的ZSK生命周期设为6个月，RRSIG有效期设为2天，那你只需要每2天用这个ZSK重新签一次记录就行，6个月后再进行ZSK滚动，完全不用每2天就换一次密钥。

备注：内容来源于stack exchange，提问作者Rayne