![是否可以从权威服务器提供 TLSA 记录?](https://linux22.com/image/714382/%E6%98%AF%E5%90%A6%E5%8F%AF%E4%BB%A5%E4%BB%8E%E6%9D%83%E5%A8%81%E6%9C%8D%E5%8A%A1%E5%99%A8%E6%8F%90%E4%BE%9B%20TLSA%20%E8%AE%B0%E5%BD%95%EF%BC%9F.png)
RFC 6698 规定,除非可以使用 DNSSEC 验证 TLSA 记录,否则应忽略该记录。对于使用内置存根解析器的客户端,这意味着检查响应中的 AD 位(并相信管理员已将解析器指向未受损害的 DNSSEC 解析器)。
但是,在许多组织中,解析器还托管组织自身区域的内部视图,并将使用 AA 标志(而不是 AD 标志)进行回复。这是否意味着将 TLSA 记录放在这样的区域中是无用的,因为禁止客户端信任它们?或者我可以期望客户端(浏览器)将使用非递归查询对 TLSA 记录进行自己的 DNSSEC 验证,并将本地解析器视为任何其他权威服务器?
(在我正在研究的特定情况下,我们正尝试使用内部名称访问外部服务,并且由于业务原因,我们无法将内部名称添加到外部服务器上的 TLS 证书中)。
在所有客户端机器上运行完整的缓存解析器是一种解决方案,但对我们来说并不可行。我知道大多数浏览器甚至都没有启用 TLSA 检查,但我希望做好准备。