验证查询
验证查询
dig +dnssec example.com # ANSWER 中出现 RRSIG，flags 观察 ad
dig +dnssec +multi example.com # RRSIG 分多行展开，便于阅读
dig +cd +dnssec broken.example # +cd 关闭验证（CD），对比验证失败场景| ad 标志 | 解析器已完成验证（Authentic Data） |
|---|---|
| RRSIG | 答案的签名记录，链到 KSK/ZSK |
| 无验证 | 解析器未开启验证时也不会置 ad |
排查 DNSSEC 故障常用对比法：同一域名 +cd 正常、不加 cd 就 SERVFAIL → 基本可认定验证链问题（如 DS 与 DNSKEY 不匹配）。