服务器域名DNSSEC开启后解析验证失败的排查

根DNS（信任锚）
    │ 根DNS的KSK → 全球公认信任锚
    │
    ├── .com 顶级域
    │   │ .com 的ZSK签名 .com 的所有记录（包括example.com的DS记录）
    │   │ .com 的KSK → 由根DNS的DS记录验证
    │   │
    ├── example.com 域区
    │   │ example.com 的ZSK签名 zone内所有记录
    │   │ example.com 的KSK → 由 .com 中的DS记录验证
    │   │
    └── web.example.com 记录
        │ 由 example.com 的ZSK签名 → 验证链完整
        │
        └── 信任链: 根 → .com DS → example.com KSK → example.com ZSK → RRSIG覆盖web.example.com

# 安装dnsviz
pip install dnsviz

# 分析域名DNSSEC信任链
dnsviz probe example.com > example.json
dnsviz graph example.json > example.html
# 在浏览器中打开 example.html 查看可视化信任链图

# Step 1: 查询根DNS的DS记录（.com的信任锚）
dig DS com @a.root-servers.net +dnssec +short

# Step 2: 查询 .com 中 example.com 的DS记录 — 最关键的一步
dig DS example.com @a.gtld-servers.net +dnssec +short
# 如果返回空 → DS记录缺失，信任链断裂
# 如果返回值与KSK不匹配 → DS记录错误

# Step 3: 查询 example.com 的DNSKEY记录
dig DNSKEY example.com @ns1.example.com +dnssec +short
# 应返回两条DNSKEY记录：KSK（flag=257）和ZSK（flag=256）

# Step 4: 查询具体记录及其RRSIG
dig A web.example.com @ns1.example.com +dnssec +short
# 应返回A记录值 + RRSIG签名数据
# RRSIG中的Key Tag应指向zone中存在的ZSK DNSKEY

# Step 5: 查询NSEC/NSEC3记录（否定响应验证）
dig A nonexistent.example.com @ns1.example.com +dnssec +short
# 应返回NSEC/NSEC3记录 + RRSIG签名

# 检查zone文件中所有记录集是否被RRSIG覆盖
dnssec-signzone -v 3 example.com.zone

# -v 3 参数输出详细签名验证信息
# 如果输出中出现 "missing RRSIG" → 签名不完整
# 如果输出中出现 "key not found" → 密钥引用错误

#!/bin/bash
# dnssec_trace.sh — 多节点信任链追踪
DOMAIN="example.com"
DNS_SERVERS="8.8.8.8 1.1.1.1 9.9.9.9 119.29.29.29 223.5.5.5"

for dns in $DNS_SERVERS; do
  echo "=== Testing via $dns ==="

  # 查询A记录（验证完整解析是否通过）
  RESULT=$(dig +dnssec A $DOMAIN @$dns +short)
  if echo "$RESULT" | grep -q "SERVFAIL"; then
    echo "✗ SERVFAIL — DNSSEC验证失败"
  elif [ -z "$RESULT" ]; then
    echo "✗ 无响应"
  else
    echo "✓ 解析成功: $RESULT"
  fi

  # 查询DNSKEY（检查密钥是否可获取）
  KEYS=$(dig DNSKEY $DOMAIN @$dns +short)
  KEY_COUNT=$(echo "$KEYS" | wc -l)
  echo "  DNSKEY数量: $KEY_COUNT (期望≥2: KSK+ZSK)"

  # 查询DS记录（检查信任链锚点）
  DS=$(dig DS $DOMAIN @$dns +short)
  if [ -z "$DS" ]; then
    echo "  ⚠️ DS记录缺失"
  else
    echo "  DS记录: $DS"
  fi
  echo ""
done

# 1. 确认顶级域中是否有DS记录
dig DS example.com @a.gtld-servers.net +short
# 返回空 → DS记录缺失

# 2. 确认zone中的KSK信息
dig DNSKEY example.com @ns1.example.com +short | grep "257"
# 257 flag = KSK

# 3. 从KSK计算期望的DS摘要值
# 获取KSK的DNSKEY记录详细信息
dig DNSKEY example.com @ns1.example.com +dnssec

# 使用dnssec-dsfromkey工具从KSK密钥文件计算DS摘要
dnssec-dsfromkey Kexample.com.+008+12345.key
# 输出: example.com. IN DS 12345 8 2 ABCDEF...

# 4. 比对顶级域中的DS记录与计算值是否一致
dig DS example.com @a.gtld-servers.net +short
# 比对 Key Tag、Algorithm、Digest Type、Digest Value 四个字段

# 1. 查询DNSKEY记录集及其RRSIG
dig DNSKEY example.com @ns1.example.com +dnssec +multiline

# 期望输出包含：
# - KSK DNSKEY (flag 257)
# - ZSK DNSKEY (flag 256)
# - RRSIG DNSKEY (签名整个DNSKEY记录集，Key Tag指向KSK)

# 2. 检查RRSIG的Key Tag是否指向zone中存在的KSK
# RRSIG中的Signer's Name应为example.com
# RRSIG中的Key Tag应匹配KSK DNSKEY的Key Tag

# 3. 检查所有记录集是否被RRSIG覆盖
for type in A AAAA MX CNAME NS SOA TXT; do
  RRSIG=$(dig $type example.com @ns1.example.com +dnssec +short | grep "RRSIG")
  if [ -z "$RRSIG" ]; then
    echo "✗ $type 记录集缺少RRSIG签名"
  else
    echo "✓ $type 记录集有RRSIG"
  fi
done

# 检查RRSIG的时间参数
dig A example.com @ns1.example.com +dnssec +multiline | \
  grep -A5 "RRSIG"

# 输出中包含:
# inception: 20260701000000 (签名生效时间)
# expiration: 20260801000000 (签名过期时间)

# 比对当前时间
CURRENT=$(date +%Y%m%d%H%M%S)
echo "当前时间: $CURRENT"
echo "签名有效期: inception → expiration"

# 如果当前时间 > expiration → 签名已过期
# 如果当前时间 < inception → 签名未生效（时钟偏差或配置错误）

# 检查NSEC3记录
dig NSEC3 example.com @ns1.example.com +dnssec +short

# 查询一个不存在的域名，检查否定响应的签名证明
dig A nonexistent.example.com @ns1.example.com +dnssec +short
# 应返回 NSEC3记录 + RRSIG签名

# 如果zone启用了NSEC3但否定响应无NSEC3+RRSIG → 否定签名缺失

# 1. 查询当前zone中的DNSKEY记录（应包含新旧KSK）
dig DNSKEY example.com @ns1.example.com +dnssec +multiline

# 2. 查询顶级域中的DS记录（应包含新旧DS）
dig DS example.com @a.gtld-servers.net +short

# 3. 比对两边的密钥一致性
# zone中的KSK Key Tag列表 vs 顶级域中的DS Key Tag列表
# 过渡期应同时包含新旧密钥的Key Tag

# 4. 检查DNSKEY RRSET的RRSIG签名密钥
# 过渡期DNSKEY记录集应由新旧KSK同时签名（双签名策略）
# 如果只有新KSK签名 → 旧KSK的信任链断裂（旧DS仍在顶级域中）
# 如果只有旧KSK签名 → 新KSK的信任链断裂（新DS已提交到顶级域）

Phase 1: 发布新KSK
  - zone中添加新KSK DNSKEY记录（新旧并存）
  - DNSKEY RRSET由新旧KSK双签名
  - 提交新KSK的DS记录到注册商（新旧DS并存）

Phase 2: 新DS传播完成（等待48小时）
  - 顶级域中新旧DS并存
  - 全球递归DNS都能通过新DS验证新KSK

Phase 3: 移除旧KSK
  - 从zone中删除旧KSK DNSKEY记录
  - DNSKEY RRSET仅由新KSK签名
  - 从注册商删除旧DS记录

Phase 4: 旧DS传播清除完成
  - 顶级域仅保留新DS
  - 轮换完成

# 1. 比对主从NS的DNSKEY记录一致性
dig DNSKEY example.com @ns1.example.com +short   # 主NS
dig DNSKEY example.com @ns2.example.com +short   # 从NS
# 如果不一致 → 从NS未获取完整签名数据

# 2. 比对主从NS的RRSIG签名时间
dig A example.com @ns1.example.com +dnssec +multiline | grep "expiration"
dig A example.com @ns2.example.com +dnssec +multiline | grep "expiration"
# 如果从NS的expiration更早 → 从NS的签名已过期，需要同步新签名数据

# 3. 检查从NS日志中的zone传输记录
grep "xfer-in" /var/log/named/named.log
# 确认从NS最近是否成功执行了zone传输

# named.conf — 自动签名配置
zone "example.com" {
    type master;
    file "example.com.zone";          ; 未签名的原始zone文件
    inline-signing yes;                ; 启用内联签名
    dnssec-signing yes;                ; 自动签名
    auto-dnssec maintain;              ; 自动维护签名（自动重签名+密钥管理）
    key-directory "/etc/bind/keys/example.com";  ; 密钥存储目录
    serial-update-method increment;    ; 自动递增Serial
    update-check-ksk yes;              ; 检查KSK状态
    sig-validity-interval 30 7;        ; 签名有效期30天，重新签名提前7天
    sig-refresh-interval 7d;           ; 每7天检查并刷新即将过期的签名
};

# 创建密钥目录
mkdir -p /etc/bind/keys/example.com

# 生成KSK和ZSK
cd /etc/bind/keys/example.com

# 生成KSK（RSA 2048位，算法RSASHA256=8）
dnssec-keygen -a RSASHA256 -b 2048 -f KSK -n ZONE example.com

# 生成ZSK（RSA 1024位）
dnssec-keygen -a RSASHA256 -b 1024 -n ZONE example.com

# 确认密钥文件已生成
ls -la /etc/bind/keys/example.com/
# 应看到 .key 和 .private 文件各两对（KSK+ZSK）

# 从KSK密钥文件生成DS记录
dnssec-dsfromkey Kexample.com.+008+*.key

# 输出两行DS记录（Digest Type 1和2）
# 只需提交Digest Type 2（SHA-256）到注册商
# example.com. IN DS 12345 8 2 ABCDEF1234567890...

# named.conf — 递归DNS临时禁用验证
options {
    dnssec-validation no;    ; 临时禁用DNSSEC验证
};

# 重新签名zone
dnssec-signzone -o example.com -K /etc/bind/keys/example.com example.com.zone

# 重载zone
rndc reload example.com

DNSSEC验证失败 → 域名全线不可解析
    │
    ├── 能否快速定位根因？
    │   ├── YES → 修复根因 + 重签名（方案三）
    │   └── NO → 选择快速止损方案
    │       │
    │       ├── 能控递归DNS？ → 临时禁用验证（方案一，5分钟恢复）
    │       │
    │       ├── 能控注册商？ → 删除DS记录（方案二，2-24小时恢复）
    │       │
    │       └── 都不行？ → 联系上级运维/注册商紧急支持
    │
    └── 恢复后 → 定位根因 → 修复DNSSEC配置 → 重新提交DS → 恢复验证

# named.conf — 递归DNS的DNSSEC日志配置
logging {
    channel dnssec_log {
        file "/var/log/named/dnssec.log" versions 5 size 5m;
        severity debug 1;
        print-time yes;
        print-category yes;
    };

    category dnssec { dnssec_log; };
    category security { dnssec_log; };
    category resolver { dnssec_log; };
};

24-Jul-2026 14:30:01.234 dnssec: info: validating example.com DNSKEY: success
24-Jul-2026 14:30:01.235 dnssec: info: validating example.com A: success

24-Jul-2026 14:30:02.456 dnssec: error: no DS record for example.com found in com zone
24-Jul-2026 14:30:02.457 resolver: error: SERVFAIL response for example.com A

24-Jul-2026 14:30:03.678 dnssec: error: DS record Key Tag 12345 does not match any DNSKEY in example.com zone
24-Jul-2026 14:30:03.679 resolver: error: DNSSEC validation failed for example.com: key mismatch

24-Jul-2026 14:30:04.890 dnssec: error: RRSIG for example.com A has expired (expiration: 20260720000000, now: 20260724143004)
24-Jul-2026 14:30:04.891 resolver: error: DNSSEC validation failed: expired signature

24-Jul-2026 14:30:05.112 dnssec: error: DNSKEY RRSET for example.com not signed by KSK (Key Tag 12345)
24-Jul-2026 14:30:05.113 resolver: error: DNSSEC validation failed: unsigned DNSKEY RRSET

24-Jul-2026 14:30:06.334 dnssec: error: NSEC3 proof for nonexistent.example.com failed: no covering NSEC3 record
24-Jul-2026 14:30:06.335 resolver: error: DNSSEC validation failed: NSEC3 proof invalid

# 搜索所有DNSSEC验证失败日志
grep "validation failed" /var/log/named/dnssec.log

# 搜索DS记录相关错误
grep "DS record" /var/log/named/dnssec.log

# 搜索签名过期日志
grep "expired" /var/log/named/dnssec.log

# 搜索密钥不匹配日志
grep "key mismatch" /var/log/named/dnssec.log

# 搜索特定域名的所有DNSSEC日志
grep "example.com" /var/log/named/dnssec.log

根 → .com DS → example.com KSK → example.com ZSK → 签名example.com记录
                                                    ↓
                                        example.com zone中的DS记录
                                                    ↓
                                    dev.example.com KSK → dev.example.com ZSK → 签名子域区记录

# 查询父zone中子域区的DS记录
dig DS dev.example.com @ns1.example.com +short
# 如果返回空 → 父zone缺少子域区DS记录，子域区信任链断裂

# 查询子域区的KSK
dig DNSKEY dev.example.com @ns1.dev.example.com +short | grep "257"

# 比对DS与KSK一致性（同类型一排查方法）

#!/bin/bash
# dnssec_expiry_check.sh — 签名过期巡检
DOMAIN="example.com"
NS="ns1.example.com"
WARN_DAYS=7    ; 提前7天告警
CRIT_DAYS=2    ; 提前2天严重告警

# 获取所有RRSIG的过期时间
dig $DOMAIN @$NS +dnssec +multiline | \
  grep "expiration" | \
  awk '{print $2}' | \
  while read exp; do
    EXP_DATE=$(echo $exp | cut -c1-8)
    EXP_SEC=$(date -d "${EXP_DATE}" +%s)
    NOW_SEC=$(date +%s)
    DAYS_LEFT=$(( (EXP_SEC - NOW_SEC) / 86400 ))
    if [ "$DAYS_LEFT" -lt "$CRIT_DAYS" ]; then
      echo "✗ CRITICAL: 签名将在 ${DAYS_LEFT} 天后过期 ($EXP_DATE)"
    elif [ "$DAYS_LEFT" -lt "$WARN_DAYS" ]; then
      echo "⚠️ WARNING: 签名将在 ${DAYS_LEFT} 天后过期 ($EXP_DATE)"
    else
      echo "✓ OK: 签名有效期剩余 ${DAYS_LEFT} 天"
    fi
  done

#!/bin/bash
# ds_consistency_check.sh — DS记录一致性巡检
DOMAIN="example.com"

# 获取顶级域中的DS记录
TLD_DS=$(dig DS $DOMAIN @a.gtld-servers.net +short)

# 获取zone中KSK并计算期望DS值
KSK_KEY=$(dig DNSKEY $DOMAIN @ns1.$DOMAIN +short | grep "257")
KSK_TAG=$(echo "$KSK_KEY" | awk '{print $1}')
EXPECTED_DS=$(dnssec-dsfromkey -a SHA-256 $(find /etc/bind/keys/$DOMAIN -name "K*+*+*.key" -exec grep -l "257" {} \;) | grep "DS.*8.*2")

if [ "$TLD_DS" = "$EXPECTED_DS" ]; then
  echo "✓ DS记录与KSK一致"
else
  echo "✗ DS记录不一致!"
  echo "  顶级域DS: $TLD_DS"
  echo "  期望DS: $EXPECTED_DS"
fi

#!/bin/bash
# key_status_check.sh — 密钥状态巡检
KEY_DIR="/etc/bind/keys/example.com"

for key in "$KEY_DIR"/*.key; do
  FLAG=$(awk '{print $3}' "$key")
  TAG=$(awk '{print $4}' "$key")
  ALGO=$(awk '{print $5}' "$key")

  if [ "$FLAG" = "257" ]; then
    TYPE="KSK"
  elif [ "$FLAG" = "256" ]; then
    TYPE="ZSK"
  else
    TYPE="Unknown"
  fi

  # 检查对应.private文件的密钥状态
  PRIVATE="${key%.key}.private"
  STATE=$(grep "State:" "$PRIVATE" 2>/dev/null | awk '{print $2}')

  echo "Key: Tag=$TAG Type=$TYPE Algo=$ALGO State=${STATE:-unknown}"
done

# 每天早上8点执行巡检
0 8 * * * /opt/scripts/dnssec_expiry_check.sh >> /var/log/dnssec_check.log
0 8 * * * /opt/scripts/ds_consistency_check.sh >> /var/log/dnssec_check.log
0 8 * * * /opt/scripts/key_status_check.sh >> /var/log/dnssec_check.log