Какво показва тази проверка
DNS Security Extensions, или DNSSEC, позволява на резолверите да валидират подписани DNS данни. Този тест проверява дали избраният резолвер отхвърля умишлено невалиден подпис. Това се отнася до автентичността и целостта на DNS отговорите; не криптира заявките и не установява кой резолвер браузърът ви обикновено използва.
Как да извършите проверката
- Въведете адреса на резолвера, който искате да тествате, и запазете избрания DNS порт непроменен между сравненията.
- Изпълнете проверките за подписания валиден домейн и умишлено невалидния домейн.
- Сравнете невалидния домейн при включена и изключена проверка, заедно с контролата с валиден домейн.
Как работи измерването
Нашият сървър изпраща обикновени DNS заявки до избрания резолвер чрез UDP и при нужда с резервен TCP. Той изисква DNSSEC записи и повтаря невалидния случай с бита Checking Disabled.
Тези заявки произхождат от мрежата на сървъра. Свързват се избраният резолвер и DNS инфраструктурата на контролните домейни; тестът не открива автоматично DNS-over-HTTPS доставчика на браузъра ви.
Разбиране на резултатите
- Валидирането е потвърдено
- Валидната контрола връща данни, невалидният домейн е неуспешен при включена проверка, а данните му се връщат при изключена проверка. Заедно тези резултати подкрепят извода за валидиране на подписа.
- Липсва валидиране
- Резолверът връща данни за умишлено невалидния подпис при включена проверка. В този тест той не е отхвърлил невалидния отговор.
- Неопределен резултат
- Изтичане на времето, отказ, неуспешна валидна контрола или непоследователни отговори пречат на надеждно заключение. Сам по себе си неуспехът не доказва валидиране.
Сравнение преди и след
- Запазете резолвера, порта, резултатите от контролите и подробностите за отговорите като базово измерване.
- Променете една настройка на резолвера или валидирането и повторете същите контроли от този инструмент.
- Сравнете трите резултата заедно. Ако промените DNS настройките на устройството, уверете се, че тестваният тук резолвер е този, който сте възнамерявали да оцените.
Ограничения на проверката
- Мрежовите ограничения между сървъра и резолвера могат да повлияят на резултатите.
- Флагът за удостоверени данни добавя контекст, но контролираното сравнение между валидни и невалидни данни предоставя основното доказателство.
Какво да промените при нужда
- Приемат се невалидни подписи
- Ако администрирате резолвера, прегледайте настройките за валидиране; в противен случай обмислете документиран валидиращ резолвер и повторете теста.
- Валидната контрола също е неуспешна
- Проверете достъпността на резолвера и достъпа до DNS порта, преди да приписвате неуспеха на DNSSEC.
Често задавани въпроси
Скрива ли DNSSEC моите DNS заявки?
Не. DNSSEC проверява подписаните отговори. Криптираният DNS транспорт се отнася до друга част от връзката.
Обхваща ли положителният резултат DNS на браузъра?
Само ако браузърът ви действително използва тествания резолвер. Настройките за защитен DNS може да изберат друга услуга.