69、DNSSEC：保障域名系统安全的全面指南（上）

DNSSEC：保障域名系统安全的全面指南（上）

1. DNS负响应与NSEC、NSEC3记录

在DNS查询时，服务器可能会给出“无此域名”或“无此资源记录集”这样的签名回复。例如，当查询名为 bork.atrust.com 的A记录时，服务器可能会返回一个NSEC记录，用以证明在 bark.atrust.com 和 bundt.atrust.com 之间不存在任何A记录。

不过，NSEC记录包含端点名称这一特性，使得攻击者能够遍历区域并获取所有有效的主机名。而NSEC3通过包含端点名称的哈希值而非端点名称本身来解决这一问题，但它的计算成本更高，即安全性增强但性能有所下降。目前NSEC和NSEC3都在使用，在生成密钥并对区域进行签名时，你可以在它们之间进行选择。除非防止区域遍历对你的网站至关重要，否则建议目前使用NSEC。

2. 开启DNSSEC

部署签名区域涉及两个独立的工作流程：一是创建密钥并对区域进行签名，二是提供这些签名区域的内容。这两项任务无需在同一台机器上实现。实际上，将私钥和CPU密集型的签名过程隔离在一台无法从互联网公开访问的机器上会更好（当然，实际提供数据的机器必须能被互联网访问）。

以下是开启DNSSEC的具体步骤：
1. 组织区域文件 ：将一个区域的所有数据文件放在一个单独的目录中，因为管理DNSSEC区域的工具期望这种组织方式。
2. 在服务器上启用DNSSEC ：
- 对于权威服务器，在 named.con