解析程序如何验证DNS响应？

Question

当客户端发出DNS查询时，它会转到DNS服务器，我们就会得到响应。我知道DNSSEC可以在DNS服务器上启用，它可以对查询进行签名验证。

除了通过上游DNS服务器进行验证之外，还可以由客户端进行DNS验证吗？启用DNSSEC的开销是多少？

Answer 1

是的，任何喜欢它的人都可以验证DNSSEC。虽然让递归解析器为你做这件事是很常见的，但严格地说，在你自己的机器上本地做这件事在安全方面更正确。

如何在你自己的机器上做到这一点完全是另一个问题，这取决于太多的事情，甚至在这里都无法开始回答。

使用DNSSEC的开销是通过网络传输更多的字节(需要包括签名、密钥等)，更多的RAM用于在内存中存储区域(同样，签名和密钥占用空间)，以及更多的CPU使用(用于加密计算)。只有在受限的环境中(嵌入式系统，带宽非常小，诸如此类)，或者每秒处理数百个DNS数据包时，开销才会很明显。