NSEC 查询

NSEC (Next Secure) records are a crucial component of DNSSEC that provide authenticated denial of existence. They prove that a particular domain name or record type does not exist in a DNS zone, preventing attackers from spoofing non-existent records.

NSEC 记录的工作原理：

• 创建区域中所有现有域名的链
• 每条 NSEC 记录指向按字母顺序排列的下一个域名
• 包含当前域名存在的记录类型列表
• 使用 RRSIG 记录签名以确保真实性
• 允许解析器证明被查询的名称或类型不存在

NSEC 与 NSEC3：

安全优势：

• 防止利用不存在记录进行的缓存投毒攻击
• 确保否定 DNS 响应的完整性
• 提供加密的不存在证明
• 支持对 NXDOMAIN 响应进行安全验证

前置条件：

• 你的域名必须启用 DNSSEC
• 有权访问 DNS 服务器配置
• 了解你的 DNS 区域结构
• 能够生成和管理 DNSSEC 密钥

分步配置：

# Generate DNSSEC keys
dnssec-keygen -a RSASHA256 -b 2048 -n ZONE example.com
dnssec-keygen -a RSASHA256 -b 1024 -n ZONE -f KSK example.com

# Sign zone with NSEC records
dnssec-signzone -o example.com -t example.com.zone

# BIND configuration
zone "example.com" {
    type master;
    file "example.com.zone.signed";
    key-directory "keys/";
    auto-dnssec maintain;
};

# Generate DS record
dnssec-dsfromkey Kexample.com.+008+12345.key