DNSSEC I: цепочка доверия

Концепция

DNSSEC добавляет криптографическую подпись к DNS-ответам, позволяя резолверу убедиться, что ответ действительно пришёл от заявленного авторитативного источника и не был подделан по пути. Цепочка доверия строится от корневой зоны вниз через DS-записи (Delegation Signer) на каждом уровне делегирования до DNSKEY конечной зоны. Если хотя бы одно звено цепочки отсутствует или повреждено — валидация целиком проваливается.

Распространённое заблуждение

«Включил DNSSEC — значит, всё готово». Включение подписи зоны — это только половина дела. Пока DS-запись не опубликована на родительском уровне (обычно это отдельный, часто ручной шаг у регистратора), полноценная цепочка доверия не строится, и валидирующие резолверы её не увидят.

Практическое упражнение

Лабораторное окружение не обязательно для проверки текущего состояния:

• marinadns.io/dnssec — проверяет, подписана ли ваша зона и валидна ли цепочка DS → DNSKEY.
• NODA (noda.marinadns.io) — DNSSEC Check (CAT-SEC) — то же самое в рамках общего скоринга домена.

Для практического упражнения по включению DNSSEC, наблюдению за появлением DS-записи у родителя и полной валидации цепочки через delv — см. Урок 5 на странице Лабораторное окружение курса.

Команды для выполнения

# До подписи: убедитесь, что DNSKEY ещё не существует
dig yourdomain.com DNSKEY +short

# Включите DNSSEC в панели провайдера (один клик на Cloudflare/Route53/большинстве современных хостов), затем:
dig yourdomain.com DNSKEY +short
dig yourdomain.com DS +short          # запрашивается у РОДИТЕЛЯ

# Полная проверка цепочки (нужен валидирующий резолвер)
delv yourdomain.com A                 # delv сообщит "fully validated" или покажет, где именно цепочка рвётся

# Убедитесь, что публичный валидирующий резолвер согласен
dig @1.1.1.1 yourdomain.com A +dnssec +cd    # наличие флага AD = валидировано