影响与风险
没有来源和完整性验证，伪造的解析数据可能被当成真实答案。
网络与基础设施
DNSSEC
DNSSEC
为 DNS 数据增加数字签名，帮助验证解析结果是否来自可信来源且未被篡改。
一句话记忆DNSSEC 给 DNS 记录加可验证的签名。
读图提示
- 角色与机制
- 信封比喻 DNS 数据，封印比喻数字签名，核验者比喻启用验证的解析器。
- 风险在哪里
- 伪造的 DNS 应答会把用户引向错误位置；没有可信验证链时，外观相似的封印并不够。
- 防护与边界
- 正确部署签名与信任链，并让解析器执行验证。DNSSEC 验证来源和完整性，不负责把 DNS 查询加密。
交互图解
从概念到风险，再到防护
切换三个步骤，观察角色、机制和结果的变化。
SCENE / 029网络与基础设施
概念：验证解析器拒绝了签名无法通过的域名应答。
一个具体场景
把概念放进日常操作
验证解析器拒绝了签名无法通过的域名应答。
从这些线索开始
看验证解析器是否建立完整信任链，签名和 DS 记录是否有效。
可以采取的动作
正确配置签名与上级 DS，维护密钥轮换，监测验证失败。