DS 查询
查询 DS 记录，验证 DNSSEC 委派和信任链
Ready to 查询 DS Records
Enter a domain name above to query its DS records and verify DNSSEC delegation.
你将获得：
- 委派签名（DS）记录详情
- 信任链验证
- 算法和摘要类型分析
- 安全建议
本页提供关于 DS 记录查询的原创、经人工审校的内容，解释委派签名摘要、注册商发布 DS 记录的方式，以及 DNSSEC 校验失败的排查方法。
DS（委派签名者）记录是建立 DNSSEC（DNS 安全扩展）信任链的 DNS 记录。
核心组成部分：
- 密钥标签：DNSKEY 记录的短数字标识符
- 算法：使用的加密算法（例如 RSA/SHA-256、ECDSA）
- 摘要类型：用于生成摘要的哈希算法（SHA-1、SHA-256 等）
- 摘要：DNSKEY 记录的加密哈希
DS 记录的工作原理：
- 子区域生成 DNSKEY 记录并签名其区域数据
- 创建包含子 DNSKEY 哈希的 DS 记录
- DS 记录发布在父区域中，并由父区域签名
- 解析器可以验证从父区域到子区域的信任链
- 这实现了 DNS 响应的端到端验证
前置条件：
- 你的域名必须启用 DNSSEC
- 你需要有权访问域名注册商的 DNS 管理
- DNSKEY 记录必须在你的区域中正确配置
分步流程：
- 为你的区域生成 DNSKEY 记录
- 使用 dnssec-dsfromkey 等工具从 DNSKEY 记录创建 DS 记录
- 将 DS 记录提交给你的域名注册商
- 等待传播生效（通常为 24-48 小时）
- 使用 DNSSEC 验证工具验证信任链
DS 记录示例：
未找到 DS 记录
The domain has no DS records, meaning DNSSEC is not enabled or not properly configured.
解决方案：启用 DNSSEC，并在注册商处发布 DS 记录。
DS/DNSKEY 不匹配
The DS record doesn't match any DNSKEY in the child zone.
解决方案：根据当前 DNSKEY 记录重新生成 DS 记录。
摘要算法较弱
Using SHA-1 digest type which is considered weak.
解决方案：升级到 SHA-256 或 SHA-384 摘要类型。
传播延迟
DS records may take time to propagate across all DNS servers.
解决方案：等待 24-48 小时，并检查多个 DNS 解析器。
验证工具：
- dig +dnssec example.com DS
- dnssec-verify 在线工具
- Verisign DNSSEC 调试器
- DNSViz 可视化工具
问：DS 记录错误会怎样？
错误的 DS 记录会导致 DNSSEC 验证失败，使使用 DNSSEC 验证解析器的用户无法访问你的域名。发布前务必验证 DS 记录。
问：可以有多条 DS 记录吗？
可以。出于冗余考虑，建议配置多条 DS 记录。你可以为不同的 DNSKEY 记录或不同的摘要算法配置 DS 记录。
问：应该多久更新一次 DS 记录？
DS 记录应在密钥轮换期间更新，通常每 1-2 年一次，或在升级加密算法时更新。仔细规划密钥轮换以避免停机。
问：KSK 和 ZSK 有什么区别？
KSK（密钥签名密钥）用于签名 DNSKEY 记录，并被 DS 记录引用。ZSK（区域签名密钥）签名区域数据。这种分离使密钥管理更加灵活。
问：为什么要避免使用 SHA-1 摘要类型？
SHA-1 在密码学上较弱且已弃用。现代实现应使用 SHA-256或 SHA-384 以获得更好的安全性。未来许多验证器可能会拒绝 SHA-1。
问：如何测试我的 DNSSEC 配置？
使用 dig +dnssec、在线 DNSSEC 验证器或 DNSViz 等工具。从多个位置和解析器进行测试，以确保验证结果一致。