分段核对
分段核对
# 1) 父域 DS 是否存在且与子域 DNSKEY 匹配（概念核对，用 dig 看素材）：
dig +short example.com DS @<父域TLD服务器>
dig +short example.com DNSKEY @<子域权威>
# 2) 验证状态对比：
dig +dnssec example.com @8.8.8.8 | grep -E 'status|RRSIG|ad;'
dig +cd +dnssec example.com @8.8.8.8 | grep status # 关闭验证对比
# 3) 签名有效期（RRSIG 输出中 inception/expiration）：
dig +dnssec +multi example.com | grep -A2 RRSIG排查 DNSSEC 的标准姿势是『+cd 对比法』：关闭验证成功＝链问题；失败＝服务器/网络问题。逐段（root→TLD→域）核对 DS/DNSKEY 匹配。