我知道 DNSSEC 自 2010 年以来已广泛实施。对于权威名称服务器，是否要支持 DNSSEC 取决于管理员。但是，我想知道是否所有根名称服务器和所有 TLD 服务器都支持 DNSSEC？
如何使用 dnspython 或 dig 等工具检查根名称服务器和 TLD 服务器上的 DNSSEC 支持，或者我不需要检查，因为它们都已经支持 DNSSEC？
【问题讨论】：
标签： python dns dig dnspython dnssec
所有根服务器？是的。
所有 TLD 服务器？不可以。所有新 gTLD（自 2013 年以来推出的）都必须具有 DNSSEC，但 ccTLD 没有这样的保证。
检查特定服务器是否处理 DNSSEC 的一种方法是向其发送带有 DO 标志集的查询，请求该服务器对其具有权威性的域的 DNSKEY RRset。如果响应包含 RRSIG 记录，则服务器会适当地处理 DNSSEC。如果您想了解详细信息和/或实现测试的 Perl 代码，请参阅 here。
【讨论】：
DS 记录。但是，无论您对这样或这样的 DNS 记录进行测试的任何查询都不能完全证明 DNSSEC 有效。证明它的唯一方法是做一个完整的查询来验证它，例如用delv专门测试你是否完全验证了DNSSEC，所以比dig更好。或者在线使用dnsviz.net 以获得等效测试的漂亮图形显示。