什么是 DNSSEC？它如何工作？

DNSSEC 为 DNS 数据添加数字签名。执行验证的解析器可以发现伪造的响应或断裂的信任链。它保护记录的来源和完整性，但不会加密 DNS 查询，也不会自动让网站变得可信。

信任链如何工作？

区域运营方使用私钥对记录签名，并发布 DNSKEY 和 RRSIG 记录。上级区域保存一条 DS 记录，将其与子区域的密钥关联起来。执行验证的解析器从受信任的根开始，沿着这条链一直验证到应答。它会接受签名正确的数据，并在链条断裂时返回错误。RFC 4033 描述了 DNSSEC 的目的和局限。

记录不存在的证明同样可以经过验证，从而防止攻击者直接替换否定应答。大多数访问者从不会直接看到签名；结果取决于他们的解析器是否进行验证。仅在控制面板中打开 DNSSEC 开关，并不能证明上级区域的 DS、已发布的密钥和签名在每台权威服务器上都相互匹配。

DNSSEC 能保护什么，不能保护什么？

在启用验证的情况下，有人想篡改 DNS 应答而不被察觉，就会困难得多。它不会向解析器隐藏所查询的名称，也不会加密与解析器之间的流量；DoH 和 DoT 解决的是另一个传输隐私问题。DNSSEC 同样不能替代 TLS 证书、诚实的网站内容、注册商账户保护或规范的区域管理。

如果域名所有者发布了错误的地址，DNSSEC 也会如实地为这个错误地址提供验证。无论是否签名，都要维护好正确的 A、AAAA、MX 及其他记录。排查故障时，可以使用 DNS 查询比较普通解析器和执行验证的解析器的响应。不要仅仅为了让某个出故障的域名看起来能用，就为所有人关闭验证。也可以用 2IP 域名配置检查再核对一遍。

已签名的域名为什么可能无法解析？

常见原因是更换 DNS 服务商或密钥后，上级区域中留下了过期的 DS 记录。签名过期、权威服务器之间不一致或密钥轮换失败也会导致验证失败。请检查委派、当前的 DNSKEY 和 DS 值、RRSIG 的有效时间，以及每台权威服务器的应答。在更改设置之前，记下准确的错误信息和测试时间。

迁移已签名的区域之前，请与新的运营方协调 DS 更新，并核实其密钥。修复之后，要留出时间让缓存中的肯定应答和否定应答过期。对于用于邮件或 API 的域名，请准备好变更窗口和回滚方案。可靠的签名自动化和监控，比控制台中一个未经核实的“已启用”状态更有价值。