DNSSEC 检查
我们查询父区中的 DS 记录、本区的 DNSKEY 集合及其签名，并询问验证解析器应答是否通过验证。
示例:
DNSSEC 让解析器能够验证一条 DNS 应答是否真的来自区域的持有者。它以信任链的方式运作:上级区域(例如 .fi 或 .cn)发布 DS 记录,即该区域密钥签名密钥的指纹;区域将其密钥发布为 DNSKEY,并用 RRSIG 记录对数据签名;进行验证的解析器从根开始沿链向下检查,并在能够验证的应答上设置 AD 标志。
本检查会查询上级区域的 DS 记录、DNSKEY 集合及其签名,并询问我们的解析器应答是否通过验证。它还会检查每条 DS 记录的密钥标签是否与区域中的某个密钥匹配,这是密钥轮换或更换 DNS 服务商时最常出问题的地方。
未签名的域名并没有坏;它只是没有受到伪造应答的保护。
常见问题
“已签名但未通过验证”是什么意思?
上级区域发布了 DS 记录,但解析器没有接受该区域的签名。进行验证的解析器会返回 SERVFAIL,对其用户而言域名可能会“消失”。常见原因是迁移到使用不同密钥的 DNS 服务商后,旧的 DS 记录没有删除。
我需要 DNSSEC 吗?
它可以防止伪造的 DNS 应答(缓存投毒),也是 DANE 等机制的前提。您的 DNS 服务商和注册商都需要支持它。
为什么 www.example.com 的结果说的是 example.com?
DNSSEC 按区域配置。区域内的主机名由该区域的密钥保护,因此检查报告的是包含该名称的区域。