☰

查询和验证 dnssec

tag-icon • tag-icon domain-name-system dig dnssec
查询和验证 dnssec

我听到http://www.isoc.org/有域名系统安全扩展在其 DNS 记录上。

如何使用该工具查看和验证 DNS dig？

答案1

命令dig很简单：

% dig +dnssec www.isoc.org.

; <<>> DiG 9.6.0-APPLE-P2 <<>> +dnssec www.isoc.org.
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 49304
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 2, AUTHORITY: 7, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags: do; udp: 4096
;; QUESTION SECTION:
;www.isoc.org.          IN  A

;; ANSWER SECTION:
www.isoc.org.       86382   IN  A   212.110.167.157
www.isoc.org.       86382   IN  RRSIG   A 7 3 86400 20100706205007 20100622205007 56495 isoc.org. ETERh/blyD1LvW+hCeET9Zy/XTdTewilU8nhA5HCGtNoccdjPN/4pBg6 Vv2S/nJTZfQu7S1KwFJpijSg0n81A8Fpr1rjlS4AfKZgiSA6ureGDOzZ J4MImGFb9h1lG7qBrJ3Psmzs292obZfA98oJstsTzd4tNwFQf5bp5pDJ KoU=

请注意两件事：

  1. 该+dnssec标志 - 要求您的 DNS 服务器验证区域数据。
  2. ad响应行中的条目。flags这确认区域数据是正确的。

[如果区域数据不正确，服务器将返回SERVFAIL错误]

但是，除非您的 DNS 服务器已配置为自行执行 DNSSEC 验证，否则它实际上不会返回该ad标志。我的服务器当然已配置为执行 DNSSEC 验证。

您可以通过在文件中添加以下行来在递归 BIND 服务器中启用 DNSSEC named.conf：

    dnssec-enable yes;
    dnssec-validation yes;

以及根区域公钥的副本。然后，可以通过 DNS 层次结构中的签名链来验证其他域名。

您还需要一个较新版本的 DNS 软件 - 只有较新的版本才支持用于对根进行签名的 RSA/SHA-256 加密算法。这意味着 BIND 9.6.2+ 或 Unbound 1.4.0+

相关内容