这个测试能说明什么
DNSSEC，即 DNS 安全扩展，使解析器可以验证已签名的 DNS 数据。本工具检查所选解析器是否拒绝故意无效的签名。它测回答的真实性与完整性，不加密查询，也不自动确定浏览器平时使用哪个解析器。
如何操作
- 输入要测的解析器地址，对比时保持所选 DNS 端口不变。
- 运行有效签名域名和故意无效域名的检查。
- 将无效域名在验证开启与关闭下的结果，与有效域名控制项一起比较。
如何测量
我们的服务器向选定解析器发送原生 DNS 查询，使用 UDP，必要时回退 TCP。请求 DNSSEC 数据，并用 Checking Disabled 位重复无效案例。
请求从服务器网络发出，联系所选解析器及控制域名 DNS 基础设施；它不自动发现浏览器的 DNS-over-HTTPS 服务。
解读结果
- 确认验证
- 有效控制项返回数据；无效域名在检查开启时失败，关闭检查时返回数据。组合支持签名验证。
- 未执行验证
- 检查开启时仍返回故意无效签名的数据，本次未拒绝该回答。
- 无法确定
- 超时、拒绝、有效控制项失败或回答不一致使结论不可靠。单独失败不证明验证有效。
比较调整前后
- 保存解析器、端口、控制项及响应细节。
- 只改变一个解析器或验证设置，再运行相同控制项。
- 一起比较三个结果；修改设备 DNS 后，确认这里测试的是你打算评估的解析器。
测试的局限
- 服务器到解析器之间的网络限制会影响结果。
- AD 认证数据标志提供补充信息，主要证据仍是有效与无效控制的组合。
需要时如何调整
- 无效签名被接受
- 若管理该解析器，核对验证设置；否则可考虑有明确验证说明的解析器后重测。
- 有效控制项也失败
- 先检查解析器可达性及 DNS 端口，不要直接归因于 DNSSEC。
常见问题
DNSSEC 会隐藏查询吗？
不会。它验证签名回答，加密 DNS 传输解决的是连接另一部分。
通过就代表浏览器 DNS 通过吗？
仅在浏览器实际使用所测解析器时成立，安全 DNS 设置可能选择其他服务。