NSEC3 资源记录带有 RSASHA256 还是仅有 NSEC3*？

Question

是否可以使用带有 RSASHA256 密钥的 NSEC3 资源记录，或者 NSEC3 是否需要使用 NSEC3RSASHA1 或 NSEC3DSA 密钥？

Answer 1

之所以RSASHA1被分配一个单独的标识符来与一起使用，NSEC3是因为在存在RSASHA1之前就已经被定义并使用了很长时间。 因此，在引入它时被视为NSEC3
NSEC3兼容性最佳使用现有部署的软件不扩展其RSASHA1工作方式，而是将更新的规范呈现为一种全新的算法RSASHA1-NSEC3-SHA1，现有软件会清楚地认识到它不支持该算法，而不是错误地将其NSEC仅有的代码与NSEC3区域一起使用。

当后续算法如RSASHA256，ECDSAP256SHA256等已经推出，其中NSEC3从一开始就包括对的支持。

正如你所看到的已分配 DNSSEC 算法的列表，没有NSEC3任何新算法的变体。