网站域名安全⑩域名防护之DNSSEC防护

网站域名安全⑩域名防护之DNSSEC防护

上一篇⑨ 信息防护讲人，这一篇回到解析协议本身——DNSSEC。

给解析盖签名

域名防护之DNSSEC防护。前面⑥ 缓存投毒说过，DNS 靠信任链，假的能被当成真的。DNSSEC 的做法是给每一级解析盖数字签名，递归服务器拿到答案先验签，签名不对就丢弃。信任从「默认相信」变成「可验证」，投毒自然失效。

部署要点

开启要在注册商和 DNS 服务商两处协同：注册商侧签 DS 记录，DNS 侧生成并滚动 KSK/ZSK 密钥。关键是密钥要定期滚动、私钥离线存。很多站长怕配错不敢开，其实现在主流平台都有「一键 DNSSEC」，跟着向导走即可。开了不等于万事大吉，密钥管理才是长久之计。

和监控配合

DNSSEC 防的是「假」，监控防的是「变」（见⑪ 监控告警）。两者叠加：签名挡投毒、监控抓篡改，解析层基本无懈可击。它不能防账号被盗改解析，但能把「协议层面」的漏洞堵死，是防护体系里性价比极高的一环。

上线前先验证

配完 DNSSEC 别急着切流量，用 dig +dnssec 或公开验证器测一遍：确认签名链完整、无 SERVFAIL。配置错比没配更糟——错误的签名会让解析直接失败、站点打不开。验证通过再放量，是这道防护不出事故的关键一步，省掉这步往往换来半夜救火。

密钥要滚动

DNSSEC 不是配一次就完：KSK/ZSK 密钥应定期滚动，旧密钥及时作废，私钥离线冷存。长期不滚密钥，一旦泄露就是长期后门；滚动时若操作失误，又会造成解析中断。建议把密钥滚动写进年度运维日历，配双人复核，并在低峰期操作、提前备好回滚方案，让这道签名防线既安全又不影响业务。

监控签验证状态

开了 DNSSEC 不是结束，还要监控「签名是否有效」：密钥临近过期、签名链异常时提前告警，避免某天签名失效导致解析大面积失败。把签验证状态纳入监控面板（见⑪ 监控），和安全事件同屏可见。DNSSEC 是动态机制，静态配置配上动态监控，才算真正兜住底。

DNSSEC 配一次管很久，换来的是解析层的长期可信，这笔投入几乎零维护、长期值。

早开早安心，别等缓存被投毒上了新闻，才想起这道签名防线。

DNSSEC 清单

• □ 域与子域全量开启 DNSSEC。
• □ 密钥定期滚动，私钥离线保管。
• □ 配合解析监控，签名+告警双保险。
• □ 换 DNS 服务商时同步更新 DS 记录。

下一篇⑪ 域名监控与告警讲怎么在第一时间发现「不对劲」。

本文收录于徐果萍文集《论持久站 网站域名》，徐果萍博客原创首发。