NS:收到不安全的响应；父级指示它应该是安全的

Question

我正试图在学校网络上的Centos 6.3上运行Bind，但我在执行外部查询时遇到了问题。

我可以挖掘/查询在我的服务器上运行的我自己的区域，但一旦我挖掘外部域名，我会在我的日志文件中看到以下内容：

NS: got insecure response; parent indicates it should be secure

我禁用了dnssec，但没有结果。我正在使用学校的DNS转发器，服务台目前还不知道出了什么问题。

但是，我可以挖掘@SCHOOL-SERVER，它会返回一个正确的答案。它只是与似乎不起作用的转发器一起工作。

有人能给我指出正确的方向吗？

Answer 1

这与新的DNSSEC功能相关，该功能现在默认启用。这可能表示您正在使用的DNS解析器/转发器不支持DNSSEC，因此响应对您的服务器似乎不安全。

您可以使用支持DNSSEC的解析程序，也可以暂时禁用服务器上的该功能。要禁用它，只需在您的named.conf或named.conf.options中使用这些参数：

dnssec-enable no;
dnssec-validation no;

Answer 2

互联网可能是一个相当令人沮丧的地方，人们都在模仿相同的答案；在解决方案的地方，你被给予了变通的办法。

我可以告诉你一个事实，如果DNS服务器说它正在提供安全响应，那么它就是在提供安全响应。因此，如果您确实想以这种方式使用DNSSEC，请在named.conf.options中禁用您的转发器：

options {
        directory "/var/cache/bind";
        //forwarders {
        //      8.8.8.8;
        //};

        dnssec-validation auto;
        dnssec-enable yes;
        dnssec-lookaside auto;
};