این آزمایش چه چیزی نشان می‌دهد؟
DNSSEC امضای دادهٔ DNS را اعتبارسنجی می‌کند؛ محرمانگی پرس‌وجو را فراهم نمی‌کند. واکنش حل‌کننده به امضای خراب، نکتهٔ اصلی این بررسی است. پاسخ از دامنهٔ سالم به‌تنهایی کافی نیست: مقایسه با دامنهٔ عمداً نامعتبر و حالت غیرفعال‌کردن بررسی، به تفسیر رفتار کمک می‌کند.
روش اجرای آزمایش
- حل‌کننده را انتخاب کنید و بدانید درخواست‌های آزمایش از سرور انجام می‌شوند.
- دامنهٔ معتبر و عمداً نامعتبر را با بررسی فعال و غیرفعال آزمایش کنید.
- پاسخ، خطا و وضعیت هر حالت را کنار هم بخوانید؛ یک پاسخ موفق را به همهٔ اعتبارسنجی تعمیم ندهید.
روش اندازه‌گیری
سرور از حل‌کنندهٔ انتخابی برای دامنه‌های مرجع DNSSEC پرس‌وجو می‌کند، با و بدون پرچم Checking Disabled که درخواست غیرفعال‌کردن بررسی است.
حل‌کننده پرس‌وجوهای سرور را می‌بیند. مسیر سرور به حل‌کننده سنجیده می‌شود؛ استفادهٔ خودکار مرورگر یا سایر برنامه‌ها از آن تأیید نمی‌شود.
تفسیر نتایج
- رفتار سازگار با اعتبارسنجی
- دامنهٔ سالم پاسخ می‌دهد و دامنهٔ خراب در حالت بررسی رد می‌شود؛ حالت بدون بررسی به تفسیر کمک می‌کند.
- پاسخ نامعتبر پذیرفته شد
- اعتبارسنجی در این مسیر تأیید نمی‌شود. سیاست حل‌کننده و پاسخ همهٔ حالت‌ها را بررسی کنید.
- خطا یا پاسخ ناقص
- اختلال، مسدودسازی یا مشکل دامنهٔ مرجع می‌تواند علت باشد. پاسخ ناقص، فعال یا غیرفعال‌بودن اعتبارسنجی را روشن نمی‌کند.
مقایسهٔ قبل و بعد
- حل‌کننده، دامنه‌های مرجع و پاسخ هر حالت را ثبت کنید.
- فقط حل‌کننده یا یک تنظیم مستند اعتبارسنجی را تغییر دهید و همان دامنه‌ها را تکرار کنید.
- الگوی رد دامنهٔ خراب را مقایسه کنید، نه فقط سرعت یا موفقیت دامنهٔ سالم.
محدودیت‌های آزمایش
- رمزگذاری DNS یا پنهان‌بودن پرس‌وجو از شبکه اندازه‌گیری نمی‌شود.
- نتیجهٔ سرور، حل‌کنندهٔ واقعی مرورگر را مشخص نمی‌کند؛ مسیر آن را جداگانه بررسی کنید.
تغییرات لازم در صورت نیاز
- دامنهٔ خراب پاسخ عادی می‌دهد
- سیاست اعتبارسنجی را بررسی کنید؛ در صورت نیاز حل‌کنندهٔ دارای اعتبارسنجی مستند را انتخاب و تکرار کنید.
- همهٔ حالت‌ها خطا دارند
- دسترسی شبکه و وضعیت حل‌کننده را بررسی کنید؛ تا رفع مشکل نتیجه را نامشخص بدانید.
پرسش‌های رایج
آیا DNSSEC همان DNS رمزگذاری‌شده است؟
خیر. اصالت و یکپارچگی دادهٔ امضاشده را بررسی می‌کند؛ رمزگذاری انتقال DNS موضوع دیگری است.
آیا مرورگرم از همین حل‌کننده استفاده می‌کند؟
این نتیجه آن را ثابت نمی‌کند. پرس‌وجو از سرور آزمایش انجام می‌شود؛ مسیر DNS مرورگر ممکن است جدا باشد.