根
DNS树的顶部。根服务器帮助解析器找到正确的TLD。
域基础设施和安全
DNS & DNSSEC
了解您的域名如何连接 - 以及 DNSSEC 如何帮助保护它
DNS 将您的域名连接到网站、电子邮件和在线服务。 DNSSEC 添加了加密验证，帮助用户和解析器信任他们收到的 DNS 信息。
基金会
什么是DNS？
DNS 代表域名系统。它将人类可读的域名（如example.com）翻译成计算机可以使用的信息，如93.184.216.34。
将域视为人们记住的地址，将 IP 视为计算机使用的地址，并将 DNS 视为连接它们的系统。
域名example.com容易让人记住
DNS 查找系统 查找域名应指向的位置。
IP 地址 93.184.216.34 帮助设备定位服务器。
分辨率
DNS 的工作原理
有人在浏览器中输入您的域后会发生什么？
01
用户
有人在浏览器或应用程序中输入 example.com。
02
递归解析器
如果答案尚未缓存，则递归解析器将开始查找。
03
根服务器
根 DNS 将解析器指向正确的顶级域。
04
TLD 服务器
TLD区域将解析器定向到域的权威nameservers。
05
权威DNS
权威服务器保存域的发布记录并返回答案。
06
IP/服务数据
解析器接收请求所需的 IP 地址或其他记录。
07
网站/服务
客户端使用该答案来访问网站、邮件系统或其他服务。
结构
DNS 是一个全局层次结构
DNS 以树的形式组织 — 从根部一直到域的权威区域。
根 (.)
.COM
.AM
.GE
权威Nameservers
example.com
TLD
顶级域（例如 .com、.am 或 .ge）管理其命名空间的委托。
权威
权威服务器发布定义您的域名指向位置的记录。
递归
递归解析器代表用户遍历层次结构并缓存答案。
记录类型
DNS 的构建模块
这些记录告诉互联网您的域应如何连接到服务。
IPv4地址
将主机名映射到 IPv4 地址。
example.com → 93.184.216.34
IPv6地址
将主机名映射到 IPv6 地址。
example.com → 2606:2800:220:1:248:1893:25c8:1946
规范名称
将一个主机名别名为另一主机名。
www.example.com → example.com
邮件交换
将域的电子邮件定向到邮件服务器。
example.com → mail.example.com
文本数据
发布验证、SPF、DKIM 等文本策略。
v=spf1 include:_spf.example.com ~all
Nameserver
将区域委托给权威nameservers。
example.com → ns1.example.net
影响
DNS 不仅仅是您的网站
DNS 是人们和系统如何找到您的在线状态背后的路由层。
网站
A 和 AAAA（及相关）记录决定哪些服务器负责您的站点。
电子邮件
MX 和支持的 TXT 记录指导邮件传递和身份验证检查。
服务
APIs、CDN、验证令牌和 SaaS 工具通常依赖于DNS 条目。
领域基础设施
NS 记录和区域数据定义了谁发布该域的权威答案。
安全扩展
什么是DNSSEC？
DNSSEC（域名系统安全扩展）将加密签名添加到DNS数据中，以便验证解析器可以验证答案是否真实且未被篡改。
没有DNSSEC
- DNS 答案可以查找，但无法加密验证
- 伪造的回复可能看起来像正常的答案
- 信任主要依赖于网络路径和缓存行为
与 DNSSEC
- 已签名DNS 数据可验证
- 无效签名可以被拒绝
- 信任链链接根 → TLD → 域
澄清
DNSSEC 不替代 DNS
DNS + DNSSEC = DNS 带验证
DNS 仍然发布和解析记录。 DNSSEC 在该数据之上添加了一个验证层。
DNSSEC是什么
一种帮助验证解析器确认 DNS 答案与信任链中签名区域数据匹配的方法。
不应该假设什么
DNSSEC 不加密网站流量，替换 HTTPS/TLS，隐藏 IP 地址或将 DNS 设为私有。
比较
DNS vs DNSSEC
DNS找到答案。 DNSSEC有助于验证答案。
DNS
- 将名称解析为记录
- 将域连接到站点、邮件和服务
- 本身不会以加密方式验证答案
DNSSEC
- 使用加密密钥对 DNS 数据进行签名
- 让验证解析器检查真实性
- 帮助检测被篡改或伪造的签名响应
验证路径
DNSSEC 如何建立信任
具有 DNSSEC 意识的验证解析器在接受答案之前会检查信任链上的签名。
01
查询
客户端请求签名域的 DNS 数据。
02
验证解析器
DNSSEC 感知的递归解析器请求答案和相关签名。
03
签名答复
权威区域返回记录以及 RRSIG 签名。
04
DNSKEY
解析器获取作为 DNSKEY 记录发布的区域的公钥。
05
家长 DS
父区域中的 DS 记录将子密钥链接到层次结构中。
06
链条检查
根据需要，验证继续向上通过 TLD 和根信任锚。
07
签名验证
验证解析器检查签名是否与返回的数据匹配。
08
接受或拒绝
有效答案被接受；验证失败可能会导致响应被拒绝。
信任模型
DNSSEC 信任链
每个链接都会验证下一个链接 - 从根到域的签名数据。
根 DNSKEY 信任锚
DS 指向TLD
TLD DNSKEY 父区密钥
DS 指向域
域 DNSKEY 子区域密钥
RRSIG签名记录
已验证可信答案
DNSSEC 记录
重要DNSSEC记录
这些记录使密码验证成为可能。
区域公钥
发布用于验证签名区域签名的公钥。
example.com DNSKEY …
代表团签字人
在父区域中发布，以将子 DNSKEY 安全地链接到链中。
example.com DS 2371 13 2 5A8F…
签名套装
携带覆盖一组DNS记录的加密签名。
example.com RRSIG A …
他们如何连接
DNSKEY 通过 RRSIG 签署区域数据。父级的 DS 验证子级 DNSKEY。它们共同构成了验证路径。
为什么它很重要
为什么 DNSSEC 很重要
DNSSEC 有助于保护、检测和防止某些类别的 DNS 完整性攻击 — 它本身并不是一个完整的安全解决方案。
欺骗
帮助检测在验证解析器中未通过签名检查的伪造 DNS 答案。
缓存中毒
当签名数据验证失败时，有助于防止接受中毒的缓存条目。
数据被篡改
帮助检测不再与其加密签名匹配的已修改 DNS 记录。
域名重定向
帮助保护用户免遭通过伪造的 DNS 目的地进行静默重定向。
完整性检查
当DNS受到攻击时会发生什么
验证如何改变伪造答案的结果的简单视图。
没有DNSSEC
接受虚假答案
攻击者注入伪造的 DNS 响应。如果没有签名进行检查，解析器可能会接受虚假答案并将用户发送到错误的目的地。
DNS 答案没有加密验证
与 DNSSEC
无效拒绝/有效接受
验证解析器检查签名。无效或篡改的答案可能会被拒绝；正确签名的答案可以更有信心地被接受。
在信任答案之前进行签名检查
层数
DNSSEC 和 HTTPS 保护不同的事物
它们保护不同的层。他们在一起变得更强大。
DNS回答诚信
帮助验证解析器确认DNS记录是真实且未被篡改的。
连接安全
加密并验证客户端和 Web 服务器之间的连接。
DNSSEC 不会替代 TLS
在支持的情况下使用 DNSSEC 加强 DNS 信任，并使用 HTTPS 保护网站会话。其中之一不能取代另一个。
诚实的限度
DNSSEC 能保护什么，不能保护什么
清晰的界限可以建立信任。 DNSSEC 在 DNS 层内非常强大——而且仅在那里。
DNSSEC 有帮助
- 验证DNS回复
- 检测修改后的签名DNS数据
- 建立信任链
- 降低某些欺骗风险
DNSSEC 没有
- 加密网站流量
- 替换HTTPS
- 保护弱密码
- 安全应用代码
- 防止每一次网络攻击
GlobalR
使用 GlobalR 管理 DNSSEC
对于支持的域，GlobalR 允许您在域管理界面中管理 DNSSEC DS 记录。可用性取决于域名扩展和 registry 支持。
您的 DNS 提供商通常会对区域进行签名并提供 DS 详细信息。您在 GlobalR 中配置这些 DS 值，以便父级 registry 可以发布它们。 GlobalR 并未在此页面发明自动密钥生成。
概述
DNSSEC 记录
Nameservers
说明性预览 - 不是实时域状态。
| 领域 | DS 记录#1 | |
|---|---|---|
| 钥匙标签 | 2371 | |
| 算法 | 13 | |
| 摘要类型 | 2 | |
| 摘要 | 5A8F… | 编辑 |
DS记录#2添加DNSSEC记录
保存更改
灵活性
支持多个 DS 记录
某些 DNSSEC 配置使用多个 DS 记录 - 例如在密钥更改期间或取决于 registry 配置。
域名DNSSEC
├── DS 记录 1 ├── DS 记录 2 └── DS 记录 3
激活
DNSSEC 配置通常如何工作
具体步骤因DNS托管提供商、registry和TLD而异。
01
DNS 提供商
签署DNS区域并准备DNSSEC材料。
02
DS信息
提供家长所需的 DS / DNSSEC 详细信息。
03
GlobalR
为支持的域配置的 DS 记录。
04
Registry
父区发布DS信息。
05
验证解析器
可以验证签名答案的信任链。
提供者和 TLD 方差
DNS 主机和 registries 的工作流程有所不同。 DNSSEC 可用性取决于域扩展和 registry 支持 — GlobalR 不承诺为每个扩展提供 DNSSEC。
使用案例
谁从DNSSEC受益？
在伪造 DNS 响应会导致严重信任或品牌损害的情况下，DNSSEC 特别有用。
商业网站
为公司域添加另一层 DNS 信任。
金融/商业
在域名完整性对于交易和帐户非常重要的情况下非常有用。
客户门户
帮助保护登录和帐户服务主机名的DNS信任。
电子邮件域
有助于增强DNS安全态势。单独启用 DNSSEC 并不能保护电子邮件内容。
品牌关键领域
有助于降低与高价值品牌伪造 DNS 回复相关的风险。
公共服务
对于目的地真实性特别重要的域非常有用。
常见问题解答
常见问题解答
关于 DNS、DNSSEC 以及使用 GlobalR 管理 DS 记录的简短回答。
DNS是什么？
DNS（域名系统）将人类可读的域名（例如example.com）转换为机器可用的答案，例如 IP 地址、邮件服务器和其他服务记录。
为什么我的域名需要 DNS？
如果没有 DNS，浏览器和应用程序将无法查找您的域名应指向的位置。 DNS 将您的域连接到网站、电子邮件和其他在线服务。
什么是DNS记录？
DNS 记录是针对域（例如 A、AAAA、CNAME、MX、TXT 或 NS）的已发布指令，它告诉解析器如何查找服务或相关名称。
A记录和CNAME记录有什么区别？
A 记录将名称直接映射到 IPv4 地址。 CNAME 将一个名称映射到另一个主机名，然后进一步解析。
DNSSEC是什么？
DNSSEC（域名系统安全扩展）添加了加密签名，因此验证解析器可以验证DNS答案是否真实且在传输过程中未被篡改。
DNSSEC会取代DNS吗？
不。DNSSEC 通过验证扩展了DNS。您仍然需要DNS来发布和解析记录； DNSSEC 有助于确认这些答案是否可信。
DNSSEC 是否加密DNS 流量？
DNSSEC 对DNS 数据进行真实性和完整性签名。它不会加密 DNS 查询或网站流量。
DNSSEC会取代HTTPS吗？
不会。DNSSEC 有助于验证DNS 答案。 HTTPS/TLS 加密并验证与 Web 服务器的连接。它们保护不同的层并且协同工作效果最佳。
什么是 DS 记录？
DS（委托签名者）记录在父区域中发布。它将子域的 DNSKEY 链接到 DNSSEC 信任链。
什么是 DNSKEY？
DNSKEY 记录发布在 DNSSEC 签名区域中使用的公钥，以便解析器可以验证该区域数据的签名。
RRSIG 是什么？
RRSIG 记录是一种加密签名，涵盖一组 DNS 记录（RRset），允许验证解析器检查数据是否与区域的密钥匹配。
什么是DNSSEC信任链？
信任链是从 DNS 根向下通过 TLDs 到您的域的密钥和 DS 记录的链接路径，让验证解析器证明答案是真实的。
每个域都可以使用DNSSEC吗？
DNSSEC 可用性取决于域扩展和 registry 支持。您的 DNS 提供商和 registrar 工作流程还必须支持签名和 DS 发布。
我可以配置多个 DS 记录吗？
是的。某些设置使用多个 DS 记录 - 例如在密钥更改期间或基于 registry 要求。 GlobalR 支持管理多个 DS 记录，其中DNSSEC 可用。
如何管理GlobalR中的DNSSEC？
对于受支持的域，请登录您的 GlobalR 帐户，打开域的 DNSSEC 设置并配置您的 DNS 提供商提供的 DS 记录详细信息。 DNSSEC 可用性取决于域扩展和 registry 支持。
下一步
为您的域名提供更强大的 DNS 基础
了解您的 DNS 配置，管理您的域基础设施并在支持的情况下添加 DNSSEC 验证。
DNSSEC 可用性取决于域扩展和 registry 支持。