如何检测DNSSEC

检测 DNSSEC（DNS Security Extensions）是否启用、配置是否正确，通常可以从解析层面、工具层面和运维层面来进行。下面按实用方式给你一个系统性说明。

一、使用命令行工具检测（最常用）

1. 使用 dig（推荐）

dig 是最直接、最权威的检测方式。

（1）查看某域名是否启用 DNSSEC

dig +dnssec example.com

关注点：

• 是否有 RRSIG 记录
• 是否有 DNSKEY 记录

示例输出中应有类似：

;; ANSWER SECTION:
example.com.  300 IN A 93.184.216.34
example.com.  300 IN RRSIG A 13 2 300 ...

（2）查看 DNSKEY

dig DNSKEY example.com +multiline

（3）查看 DS 记录（在父域）

dig DS example.com

如果父域（如 .com）有 DS 记录，说明该域名已“正式”启用 DNSSEC。

（4）完整链路验证

dig +trace +dnssec example.com

2. 使用 delv（专门验证 DNSSEC）

delv 是 BIND 提供的 DNSSEC 验证工具：

delv example.com

• 成功：显示 ; fully validated
• 失败：显示 validation failure

3. 使用 drill（ldns 工具）

drill -S example.com

二、使用在线检测工具（适合非技术人员）

常见工具

• DNSViz
  https://dnsviz.net/
• Verisign DNSSEC Debugger
  https://dnssec-debugger.verisignlabs.com/
• Internet.nl
  https://internet.nl/

这些工具会：

• 检查 DS / DNSKEY / RRSIG
• 检查链完整性
• 图形化展示问题

三、检测 DNSSEC 的关键点（必查项）

✅ 1. 父域是否有 DS 记录

没有 DS = DNSSEC 未真正生效

✅ 2. 子域是否有 DNSKEY + RRSIG

缺一个都不行

✅ 3. 签名是否过期

RRSIG 中有 expiration 时间

✅ 4. 算法是否被支持

常见：

• RSASHA256（8）
• ECDSAP256SHA256（13）

✅ 5. 链是否可验证

从根（.） → TLD（.com） → 域名

四、运维侧检测（如果你是域名管理员）

1. 检查签名是否自动刷新

DNSSEC 签名会过期，需要：

• 自动 resign
• 或定时任务

2. 检查 KSK / ZSK rollover

• KSK：用于 DS
• ZSK：用于日常签名

3. 使用 named-checkzone（BIND）

named-checkzone example.com zonefile

五、常见失败原因

• DS 记录未提交到注册商
• 签名过期
• 算法不被解析器支持
• 父域/子域配置不一致
• NSEC / NSEC3 配置错误

如果你愿意，可以：

• 告诉我具体域名
• 或你是用户 / 运维 / 开发者
• 或你用的是 Windows / Linux / macOS

我可以直接帮你给出针对性检测命令或结果分析。