当 NS 记录不附带 A 记录时进行 DNSSEC 解析

Question

您的问题中有多个要点：

1) dig +dnssec仅请求 dig 向您发送与 DNSSEC 相关的记录，即带有您的结果的 RRSIG，它不验证任何内容。

该+ad标志（但这是默认设置）请求 DNSSEC 验证...但这仅在您查询 DNSSEC 验证解析器时才有效。相反，+cd它会禁用任何类型的 DNSSEC 验证。

看：

; <<>> DiG 9.10.3-P4-Ubuntu <<>> @9.9.9.9 +ad ietf.org
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 31296
;; flags: qr rd ra ad; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
;; QUESTION SECTION:
;ietf.org.          IN  A

;; ANSWER SECTION:
ietf.org.       1800    IN  A   4.31.198.44

;; Query time: 228 msec

2) 关于dig @199.19.54.1 ietf.org +dnssec +multi 您没有获得 A 记录是正常的。aka 对不具有权威性，它只对具有权威性。因此，如果您查询其区域中的域，它只会提供引荐，即 NS 记录。一些名称服务器可能还会在附加199.19.54.1部分提供 A/AAAA 记录以帮助解析器，但它们更多地被用来不信任它们。b0.org.afilias-nst.org.ietf.orgorg

但请注意，在回复中您有 DSietf.org和相关的 RRSIG。

因此，解析器的下一步是使用 NS 记录，查询其 A/AAAA 记录，然后联系他们以获取的 A 记录ietf.org。如果他们需要进行 DNSSEC 验证，他们将查询 DNSKEY 并验证 DNSKEY 是否与区域中的 DS 相对应org，以及A的记录ietf.org是否具有使用 DNSKEY 签名的相应 RRSIG（我简化了，大多数情况下您都有 KSK 和 ZSK，这只会创建额外的签名级别，但不会从概念上改变上面的内容）。

名称服务器的域名本身可能未启用 DNSSEC，这不会影响的 DNSSEC 验证ietf.org。但是，这会产生实际的安全后果，因为这意味着它们的域名可能被劫持，因此理论上您可以将流量转移到会给出其他回复的流氓名称服务器，并可能导致 DNS 或 DNSSEC 验证失败。这些流氓名称服务器最多只能向所有验证解析器强制 SERVFAIL 错误，因为它们无法提供由与父区域中的 DS 记录匹配的密钥签名的签名。因此，即使名称服务器域本身不使用 DNSSEC，此处的 DNSSEC 仍可确保不会插入其他/虚假记录。

当然，在理想情况下，所有域名都可以或应该启用 DNSSEC，但这仍然是一个先有鸡还是先有蛋的问题：根区域.使用域中的名称服务器root-servers.net，因此您无法同时保护两个部分。事实上，root-servers.net到今天为止还没有启用 DNSSEC……这对所有域名的解析或 DNSSEC 验证影响不大。

简而言之，DNSSEC 不起作用是因为权威名称服务器会直接提供“子”名称服务器的 IP 地址，这部分工作方式与 DNSSEC 之前一样。DNSSEC 之所以有效，是因为从广义上讲，每个区域都会发布用于在区域中的每条记录上生成签名的密钥，并且密钥的哈希值会在父区域中发布，以创建一条信任链，直至根信任锚。

Answer 1