如何在DNSSEC中实现公钥管理

DNSSEC公钥管理的核心机制

• 公钥在DNSSEC中通过DNSKEY记录发布，配合RRSIG对记录进行签名，用DS（Delegation Signer）记录把子域的公钥指纹（哈希）交由父域保存，形成从根 → TLD → 二级域 → 主机名的逐级验证链。验证端（递归解析器）用父域的DS与子域的DNSKEY比对，一致才信任该公钥。常用密钥分工为：**KSK（Key Signing Key）**用于签名ZSK并生成/更新DS，**ZSK（Zone Signing Key）**用于签名日常资源记录，滚动频率更高。DNSSEC提供来源验证与完整性校验，不提供加密与可用性保障。

权威侧公钥管理流程

• 生成密钥对：使用工具（如BIND的dnssec-keygen）生成KSK与ZSK，示例：dnssec-keygen -a RSASHA256 -b 2048 -n ZONE yourdomain.com（生成ZSK）；生成KSK可加-f KSK。选择合适的算法与长度是安全与性能的平衡（RSA/ECDSA等）。
• 发布公钥：将生成的**.key公钥文件包含进区域（如$INCLUDE到zone文件），使权威区对外发布DNSKEY**集合。
• 区域签名：使用dnssec-signzone对区域进行签名，生成RRSIG并输出**.signed**文件，例如：dnssec-signzone -A -o yourdomain.com -N INCREMENTAL -k Kyourdomain.com.+015+<KEY_ID>.private yourdomain.com.db。
• 提交DS至父域：从签名产物中提取或让服务商生成DS记录（包含密钥标签、算法、摘要），在域名注册商处提交，使其写入父域（如**.com**）的DNS。完成后，解析器可凭父域的DS与子域的DNSKEY完成链路验证。
• 验证生效：使用dig +dnssec yourdomain.com @8.8.8.8查看是否返回RRSIG并带有AD标志，确认链路验证成功。

密钥生命周期与滚动策略

• 角色与周期：ZSK承担高频签名，建议短周期滚动（如按月/季度）以降低暴露风险；KSK签名ZSK，变更频率低（常见为按年），但变更影响面大。
• 预发布与双签：滚动前先生成新密钥并导入权威区，使用新/旧密钥对相同数据双签，待新密钥充分传播后再切换线上使用，最后退役旧密钥。
• 父域同步：KSK变更需生成新的DS记录并提交父域；务必在父域生效后再让旧KSK退役，避免验证链断裂。
• 自动化与审计：建议启用自动化密钥管理/签名（如托管DNS或CI/CD流水线），并保留密钥生成、启用、滚动、撤销全链路审计日志。

变更与迁移的注意事项

• 域名转入/转出、注册商更换、DNS服务商迁移时，务必先删除旧注册商的DS记录，再在旧服务商关闭DNSSEC，否则会因信任链断裂导致解析失败；迁移完成后再在新侧重新开启并同步新的DS。
• 部分后缀可能暂不支持DNSSEC；若控制台无DNSSEC入口，需确认TLD是否支持。
• 关闭流程务必按“先父域DS、后权威侧签名”的顺序执行，避免中间态验证失败。

验证与运维实践

• 在线验证：使用dig +dnssec <name> <type> @<resolver>检查是否返回RRSIG且响应标志含AD；也可用DNSViz可视化全链路与签名状态。
• 递归侧信任锚：自建验证解析器时，可配置根区信任锚（如从IANA获取），并针对尚未全面签名的“安全岛”按需添加信任锚，确保验证连续性。
• 监控告警：对RRSIG过期、DNSKEY集合变更、DS不匹配、验证失败率等指标设置告警，配合日志审计快速定位问题。