DNSSEC och powerdns serial number
 

Jag har en fråga om serie-numret när man har en osignerad dold master där en publik powerdns server gör zone transfers och signerar zonerna.

Som jag har fattat det så kommer nyckelrotering med uppdatering av serial ske på
powerdns servern med jämna mellanrum. Men hur kan den då komma ihåg det gamla serienumret på den dolda servern utifall någon får för sig att göra en ändring i zonen?

Det kan ju i praktiken bli så att i den dolda servern har ett lägre/samma nummer än i den publika trots att man har uppdaterat serienumret i den dolda servern.

Tex

zone tillagd i dold dns sätter soa 2012122401
zone tillagd i publik dns genom axfr sätter samma soa 2012122401
zone 1 år gammal rullar ut ny nyckel i publika servern och ökar serienumret 2013122401
kunden gör en ändring i dolda mastern som sätter serienumret 2013122401
ingen axfr/zoneuppdatering sker då det är samma serienummer.

alla ändringar i dns skall resultera i att serienr ökar ett snäpp och detta uppdateras då på slavarna, och den lär inte uppdatera til 2013122401 utan snarare till 2013122400 isf.