Den som ska köra avancerad DNSSEC-trafik hemma bör inte ha en billig hemmarouter. Ska det vara en nyhet? Tja, idag kanske det inte spelar så stor roll. Men ungefär samma problem som idag finns med DNSSEC kan väntas dyka upp med IPv6, så det finns en poäng till i det här testet.

. SE som tidigare hette II-Stiftelsen driver den svenska toppdomänen med samma namn är ganska insyltade i arbetet med att införa protokollet DNSSEC i världens DNS:er. Hittills har det största genomslaget för DNSSEC varit hemma i Sverige. När vanliga privatpersoner för första gången skulle använda en webbplats som var säkrad med DNSSEC under hösten 2007 upptäcktes problem med DNS-trafik mot signerade zoner för vissa routrar för hemmabruk. En del av problemen visade sig bero på en äldre version av DNS-programvaran. Eftersom .SE anser att DNSSEC är en bra och viktig standard söktes fel även i routrarna.

- Det stora problemet ur ett DNSSEC-perspektiv är att majoriteten av hemmaroutrarna inte har klarat av DNSSEC ner på applikationsnivå på datorn. Det är inget problem så länge valideringen sköts av til exempel internetleverantörens DNS-resolver. Men det blir det när en applikation kräver egen DNSSEC- validering, skriver Patrik Wallström som är projektledare för forskning och utveckling på .SE

Exempel på sådana program är BIND, Unbound och Nominums Caching Name Server, CNS. Det vill säga program som används för just DNS-ändamål, inte av vanliga användare.

Patrik Wallström och Joakim Åhlund tog in tolv routar avsedda för hemmabruk och testade hur bra de klarade av att kommunicera både mot uppdaterade DNS-servrar och den äldre versionen som tidigare ställt till problem. Den ena versionen hade en känd bugg. De testade även om routrarna klarade att ta emot oväntade svar på DNSSEC-frågor, om hemmaroutrarna kan luras att svara på DNS-frågor utifrån Internet, hur de hanterar SSH-fingeravtryck i DNS och hantering av IPv6.

Av de tolv inköpta routarna gick Zonet och Gigabyte inte att testa på ett meningsfullt sätt. Testarnas försök att kontakta tillverkarna slutade vid ett par online-formulär för teknisk support där inskickade frågor inte besvarades. Tre av routrarna klarade testet utan större anmärkningar, D-link DI-804HV, Linksys WRT54GS och FON. Övriga sju hade märkbara problem att hantera DNSSEC på ett avancerat sätt.


Klicka här för testet