如何检查域是否使用 DNSSEC？

Question

DNSSEC 现在已经部署在一些顶级域上。但是我怎么能看到一个站点/域是否正在使用 DNSSEC？是在浏览器中显示吗？或者是否有任何 windows 或 linux 命令可以查看它？或它的工具？

Answer 1

dig [zone] dnskey

这将显示区域中是否存在用于验证区域中的 RRset 所需的 DNSKEY RRset。

如果您想查看您的递归服务器是否正在验证区域，

dig +dnssec [zone] dnskey

这将在出站查询上设置 DO (dnssec OK) 位，并导致上游解析器在返回数据包上设置 AD（经过身份验证的数据）位（如果数据经过验证），并且还会为您提供相关的 RRSIG（如果区域在问题已签名），即使它无法验证响应。

您可能想看看我的“6 分钟内的 DNSSEC”演示（很多关于调试 DNSSEC）中的最后一组幻灯片。该演示文稿关于部署 DNSSEC 的内容有点长（您真的应该看看 BIND 9.7 的好东西），但调试几乎没有变化。

我还在 NANOG 50 上做了一个关于BIND 9.7 DNSSEC 部署的演讲。

我被要求在 serverfault 上承认我实际上为 ISC、BIND 和 ISC DHCP 的维护者工作。我非常乐意帮助任何有问题的人（时间允许）。 (2认同)

Answer 2

我不相信它当前显示在浏览器中。

firefox 有一个扩展，它可能会做你想做的事情：

或者，也许是这些工具之一？