NSEC 记录（否定存在证明）

DNSSEC 的「链式否定证明」：每个名字指向排序中的下一个名字，验证器据此证明「查询的名字不存在」。

协议速查网络更新于 2026-10-12

类型	NSEC（TYPE 47）
字段	下一个域名 + 类型位图
规范	RFC 4034 §4
副作用	支持「区域漫步」（zone walking）：可枚举区域全部名字

观察 NSEC

dig +dnssec +noall +answer example.com A
# example.com. 3600 IN NSEC mail.example.com. A MX RRSIG NSEC

为防止枚举，现代部署更常用 NSEC3（哈希化名字）；纯 NSEC 区域的内网/测试环境可接受。

‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌‌