Linux dnssec是域名系统安全扩展（DNS Security Extensions）在Linux操作系统中的实现与部署，核心目标是通过密码学手段验证DNS数据的真实性和完整性，解决传统DNS协议缺乏身份验证的缺陷，避免用户被引导到恶意伪造的网站地址。
dnssec的核心作用
传统DNS查询过程中，客户端向DNS服务器发送域名请求，服务器返回对应的IP地址，但整个过程没有验证返回数据是否真的来自权威域名服务器，攻击者可以篡改响应内容，将用户引导到钓鱼网站。dnssec通过给DNS数据添加数字签名，让客户端可以验证数据来源是否合法，数据在传输过程中是否被修改。
dnssec涉及的关键概念
- 区域签名：权威域名服务器对自己的区域文件内的所有资源记录进行数字签名，生成对应的RRSIG记录。
- 密钥对：包含私钥和公钥，私钥用于生成签名，公钥用于验证签名，公钥本身也会通过DS记录提交到上级域名服务器。
- 信任链：从根域名服务器的密钥开始，逐级验证下级域名服务器的签名，形成完整的信任链条，最终验证目标域名的DNS数据。
Linux系统下dnssec的工作流程
在Linux环境中，通常是DNS解析器（如systemd-resolved、unbound等）负责执行dnssec验证，整体流程如下：
- 用户程序发起域名解析请求，Linux系统的DNS解析器向配置的DNS服务器发送查询。
- DNS服务器返回域名的资源记录同时，返回对应的RRSIG签名记录，以及用于验证的公钥相关记录。
- 解析器从根域名服务器开始，逐级获取上级域名的DS记录，验证当前域名的签名是否合法。
- 如果所有验证都通过，解析器将解析结果返回给用户程序；如果验证失败，会返回解析错误，避免使用不可信的IP地址。
Linux下开启dnssec验证的配置示例
以常见的unbound DNS解析器为例，开启dnssec验证的配置步骤如下：
1. 安装unbound服务
在Debian/Ubuntu系统中执行以下命令安装：
sudo apt update sudo apt install unbound -y
2. 修改unbound配置文件
编辑/etc/unbound/unbound.conf文件，添加以下配置内容：
server:
# 开启dnssec验证
dnssec: yes
# 信任锚文件，存储根域名的公钥
trust-anchor-file: "/etc/unbound/root.key"
# 监听本地所有地址的53端口
interface: 0.0.0.0
# 允许本地网络访问
access-control: 127.0.0.0/8 allow
access-control: 192.168.0.0/16 allow
# 自动获取根域名服务器列表和信任锚
remote-control:
control-enable: yes
3. 获取根域名信任锚并启动服务
执行以下命令获取根域名的公钥，然后启动unbound服务：
# 获取根信任锚 sudo unbound-anchor -a /etc/unbound/root.key # 启动服务并设置开机自启 sudo systemctl start unbound sudo systemctl enable unbound
4. 验证dnssec是否生效
可以使用dig命令测试开启了dnssec的域名解析，查看返回结果中是否包含ad标志（authentic data）：
dig @127.0.0.1 ippipp.com +dnssec
如果返回结果中存在ad标志，说明dnssec验证已经生效，解析到的数据是经过验证的可信数据。
dnssec的局限性
虽然dnssec能提升DNS解析的安全性，但它也存在一定的局限性：
- dnssec仅验证DNS数据的真实性和完整性，不提供传输过程的加密，DNS查询的域名本身还是可能被监听。
- 如果域名的私钥泄露，攻击者可以生成合法的签名，因此密钥的安全管理非常重要。
- 部分老旧的设备或DNS服务可能不支持dnssec，配置时需要考虑兼容性问题。
注意：在配置dnssec时，要确保信任锚文件是最新的，否则可能因为根密钥更新导致验证失败，影响正常的域名解析。