Làm cách nào để kiểm tra xem tên miền có sử dụng DNSSEC không?


20

DNSSEC đã được triển khai trên một số tên miền hàng đầu hiện nay. Nhưng làm thế nào tôi có thể thấy nếu một trang web / tên miền đang sử dụng DNSSEC? Nó được hiển thị trong trình duyệt? hoặc có bất kỳ cửa sổ hoặc lệnh linux để xem nó? hoặc một công cụ cho nó?

Câu trả lời:


19

dig [zone] dnskey

Điều đó sẽ cho bạn thấy nếu có DNSKEY RRset được yêu cầu trong vùng sẽ được sử dụng để xác thực RRsets trong vùng.

Nếu bạn muốn xem máy chủ đệ quy của bạn có xác thực vùng không,

dig +dnssec [zone] dnskey

Điều này sẽ đặt bit DO (dnssec OK) trên truy vấn bên ngoài và khiến trình phân giải ngược dòng đặt bit AD (dữ liệu được xác thực) trên gói trả về nếu dữ liệu được xác thực và cũng cung cấp cho bạn các RRSIG liên quan (nếu vùng trong câu hỏi được ký) ngay cả khi nó không thể xác nhận câu trả lời.

Bạn có thể muốn xem nhóm các slide cuối cùng trong bài thuyết trình "DNSSEC trong 6 phút" của tôi (rất nhiều về việc gỡ lỗi DNSSEC). Bài thuyết trình đó hơi dài về việc triển khai DNSSEC (bạn thực sự nên xem BIND 9.7 để biết nội dung tốt), nhưng việc gỡ lỗi đã thay đổi rất ít.

Ngoài ra còn có một bài thuyết trình tôi đã trình bày tại NANOG 50 về triển khai BIND 9.7 DNSSEC .


2
Tôi đã được yêu cầu trên serverfault thừa nhận rằng tôi thực sự làm việc cho ISC, những người duy trì BIND và ISC DHCP. Tôi rất vui khi được giúp đỡ bất cứ ai có vấn đề với một trong hai (thời gian cho phép).
Knobee

Các slide của bạn cho "DNSSEC trong 6 phút" cung cấp 404 ngay bây giờ. Có một URL mới?
e40

URL mới xuất hiện để được: kb.isc.org/article/AA-00820/0/DNSSEC-in-6-minutes.html
E40


-1

Trên thiết bị đầu cuối: đào đường hầm.com + dnssec

Bạn cần tìm RRSIG (Chữ ký RRset) trỏ đến chữ ký DNSSEC.

Trả lời từ Ví dụ1: tunix.com. 300 IN RRSIG A 13 2 300 20190515200903 20190513180903 34505 đường hầm.com. Bqc6weQYQyCi8rB3wmYxMxDqlkpOzt2wWTMC58QGy6BbX8y + jWxDIFwH DUCJ2Gy0dLFLPDNfVdZ9RmPRlbNv =

Mặt khác, xác thực DNSSEC của bạn thông qua trình kiểm tra DNSSEC miễn phí trực tuyến. https://dnssec-debugger.verisignlabs.com

Để biết thêm thông tin tham khảo các liên kết này có thể hữu ích:

https://tunnelix.com/count-dns-attack-enables-dnssec/

https://tunnelix.com/anatomy-of-a-simple-dig-result/


2
Trong khi về mặt lý thuyết có thể trả lời câu hỏi, tốt hơn là nên bao gồm các phần thiết yếu của câu trả lời ở đây và cung cấp liên kết để tham khảo.
bertieb

Tôi cập nhật câu trả lời theo yêu cầu. Cảm ơn
Nitin J Mutkawoa
Khi sử dụng trang web của chúng tôi, bạn xác nhận rằng bạn đã đọc và hiểu Chính sách cookieChính sách bảo mật của chúng tôi.
Licensed under cc by-sa 3.0 with attribution required.