DNS 17 BADKEY Key not recognized: что означает и как диагностировать

Что означает ошибка

В TSIG-контексте сервер не смог принять выбранный клиентом key/algorithm. RFC 8945 требует BADKEY, когда ключ или алгоритм не распознан либо алгоритм не реализован сервером.

Возможные причины

• Указанный TSIG key name не настроен на сервере, который получил запрос.
• Клиент использует ключ другого окружения, сервера или зоны.
• Клиент указывает TSIG algorithm, который сервер не распознаёт или не реализует.

Что проверить

• Сверьте TSIG key name и algorithm на клиенте и сервере, не выводя shared secret.
• Проверьте, что запрос действительно попадает на сервер, где этот ключ настроен.
• Посмотрите authoritative DNS logs: BADKEY должен отличаться от BADSIG, который означает ошибку проверки MAC.

Безопасные шаги

1. Используйте правильную пару key name + algorithm для этого DNS-сервера.
2. Если алгоритм не поддерживается, выберите согласованный поддерживаемый TSIG algorithm и обновите обе стороны.
3. Не пытайтесь исправлять BADKEY изменением регистра имени: DNS-style names и TSIG algorithm names сравниваются без учёта регистра.

Только безопасные обратимые действия. Опасные шаги — только по официальной инструкции и с пониманием рисков.

Когда нужен сервис

• Если key name и algorithm совпадают с конфигурацией, а сервер продолжает возвращать BADKEY, передайте только идентификатор ключа, algorithm и фрагмент server-side TSIG configuration DNS/security администратору — без shared secret.

Похожие ошибки

• /errors/dns-rcode-formerr/
• /errors/dns-rcode-servfail/
• /errors/dns-rcode-nxdomain/

Что учитывать

Точная причина зависит от версии ПО/прошивки, полного текста ошибки и контекста. Официальная инструкция имеет приоритет.

Официальный источник

Расшифровка сверена с официальными страницами поддержки из источников ниже. Редакция N1RO не диагностировала ваш конкретный случай.

• RFC 8945 §5.2.1 — TSIG Key Check and Error Handling (BADKEY)
• DNS RCODE — официальная документация / поддержка