Что показывает этот тест
DNSSEC — расширения безопасности DNS, позволяющие проверять подлинность и целостность подписанных данных. Тест выясняет, отклоняет ли выбранный резолвер намеренно недопустимую подпись. Это не шифрование запросов и не определение обычного резолвера браузера. Даже хороший результат относится к указанной системе; остальные свойства подключения требуют отдельных наблюдений.
Как провести тест
- Введите IP нужного резолвера. По умолчанию разрешены публичные адреса и порт 53; имя домена не заменяет адрес.
- Запустите три контроля: допустимую подпись, недопустимую и недопустимую с явно отключённой проверкой. Дождитесь всех ответов.
- Прочитайте коды вместе с наличием данных. Один отказ ошибочной подписи может быть обычной сетевой ошибкой.
Как выполняется измерение
Наш сервер напрямую запрашивает резолвер с требованием DNSSEC. Бит CD отключает проверку для контроля; AD может сообщать о подтверждённой подлинности ответа.
Контроли отделяют проверку подписи от общей недоступности пути. Резолвер видит запрос сервера; браузер с зашифрованным DNS может пользоваться другой системой.
Как понимать результаты
- Валидация подтверждена
- Допустимая подпись даёт данные, недопустимая отклоняется при проверке и возвращает данные без неё. Совокупность контролей поддерживает вывод.
- Недопустимая подпись принята
- Резолвер принял ошибочно подписанные данные при включённой проверке. Ожидаемый отказ не наблюдался; проверьте подробности и выбранную цель.
- Контроли недостаточны
- Тайм-аут, пустой ответ или неожиданная комбинация не дают надёжного вывода. Отдельная ошибка не является доказательством защиты DNSSEC.
Сравнение до и после
- Сохраните резолвер, порт, контрольные домены и серверную точку наблюдения.
- Если управляете резолвером, измените одну настройку валидации; иначе выберите другой резолвер и явно отметьте смену цели.
- Сравните сочетание трёх ответов. Переключение VPN браузера не меняет автоматически резолвер, запрашиваемый сервером.
Ограничения теста
- Результат относится к этому резолверу и моменту. Операционная система и браузер могут обычно использовать другие сервисы DNS.
- DNSSEC не измеряет секретность запросов, общую безопасность сайта или добросовестность владельца домена.
Что можно изменить
- Недопустимая подпись не отклоняется.
- Проверьте настройку валидации своего резолвера или документацию поставщика. Повторите все три контрольных запроса.
- Не работают все запросы.
- Проверьте IP, порт и доступ сети. Пока корректный контроль не возвращает данные, не делайте вывод о валидации.
Частые вопросы
DNSSEC — зашифрованный DNS?
Нет. Он проверяет подписи. Шифрование запросов обеспечивают отдельные механизмы, например DoH или DoT.
Одного AD достаточно?
Тест использует совместное поведение контролей. Читайте допустимый и недопустимый домены вместе, а не только один флаг.