DNS可以说是互联网的电话簿，负责将域名准确转换为IP地址，但仅靠DNS无法验证收到的IP地址是否正确。这意味着，如果有人篡改传输中的DNS响应，您可能会被引导至恶意网站，却无从察觉。这正是DNSSEC（域名系统安全扩展）的用武之地。
“遵循良好的DNS实践，意味着构建主/辅助DNS环境，让本地部署和云端DNS解决方案协同工作，从而增强冗余能力、性能和安全性。”
DNSSEC为DNS记录添加加密签名。当DNS解析器查询域名时，DNSSEC可让解析器验证信息是否来自合法来源且未被篡改。可以将DNSSEC理解为DNS响应上的防篡改封条，但它能做什么、不能做什么，需要具体说明：
- DNSSEC不会加密DNS数据（加密DNS数据是基于HTTPS/TLS的DNS，即DoH的作用）。
- DNSSEC无法直接防止DDoS或数据外泄。
- DNSSEC确实会验证DNS响应的真实性。
DNSSEC实际上回答了这样一个问题：“这是来自域名所有者的真实响应，还是已被伪造或篡改？”
为何这对当今网络安全至关重要
现代攻击手段隐蔽，攻击者往往会利用人们对基础系统的信任。如果没有DNSSEC，攻击者可能通过污染DNS缓存或劫持传输中的查询，在不触发任何警报的情况下，悄然将用户重定向至网络钓鱼网站或中间人（MITM）基础设施。
因此，了解DNSSEC如何发挥作用非常重要：
- 它可以防止缓存投毒。
- 它可以降低域名劫持风险。
- 它可以通过保护链条中的第一个环节，改善零信任安全态势。
DNSSEC的采用率正在稳步提升
Google和Cloudflare等主要服务提供商默认验证DNSSEC，而 .gov和.edu域名则必须使用DNSSEC。金融服务、政府和医疗保健行业依靠DNSSEC来保障运营安全并赢得客户信任；与此同时，零售等面向客户的行业也在稳步采用DNSSEC。
那么，为什么并非所有人都在使用DNSSEC？
过去，DNSSEC的口碑并不好。它实施起来很复杂；如果配置不当，偶尔会导致故障（尤其是在密钥轮换期间）；而且并非所有解析器或DNS提供商都支持它。但现在情况已大不相同。大多数主流解析器默认验证DNSSEC，现代云DNS平台也提供自动签名、密钥轮换和验证工具，让部署更易于管理。因此，要确保DNS策略的安全性和韧性，实施支持DNSSEC的解决方案也是一项值得采用的实践。
DNS最佳实践：安全性与冗余
实施DNSSEC就像给互联网“电话簿”中属于您的页面加上一把锁。这是保障信任的重要一步，而信任正是网络安全的基础。
与加密、防火墙和威胁检测系统等其他安全措施结合使用时，DNSSEC可为数字生态系统提供重要的安全保障。DNSSEC因此发挥着关键作用：增强DNS安全性并防止篡改。对于处理敏感数据的行业而言，这些都是必不可少的最佳实践；这些行业依靠DNSSEC来帮助保障系统安全并保护客户。
不过，遵循良好的DNS实践还意味着构建一个主/辅助DNS环境，让本地和基于云的DNS解决方案协同工作，以增强冗余能力、性能和安全性。F5 Distributed Cloud DNS与F5 BIG-IP DNS可在这种混合环境中协同工作，支持DNSSEC签名，并在两者之间无缝传递DNSSEC记录。这样既能简化DNS安全防护，又不会增加部署复杂性，这对于构建稳健的DNS策略至关重要。
主 DNS 和辅助 DNS 支持详解
Distributed Cloud DNS为DNSSEC提供强大支持。当Distributed Cloud DNS作为权威源时，可确保DNS响应的端到端完整性和真实性。
当Distributed Cloud DNS管理主区域时，可提供内置的DNSSEC签名和密钥管理功能，支持无缝启用区域签名和自动密钥轮换。区域签名密钥（ZSK）和密钥签名密钥（KSK）均受到安全管理，并可导出DS记录，以便委派给上游注册商。因此，Distributed Cloud DNS可一站式满足权威解析和DNSSEC合规需求。
那么，当Distributed Cloud DNS部署为辅助DNS服务时，例如作为BIG-IP DNS的辅助服务，会发生什么？
在此混合架构中，DNSSEC签名仍由作为主DNS服务器的BIG-IP DNS负责。Distributed Cloud DNS仅传输并提供通过权威区域传送（AXFR）从BIG-IP DNS接收的已签名区域数据。由于Distributed Cloud DNS作为辅助DNS服务器时不会修改区域或对区域重新签名，因此会保留BIG-IP DNS生成的所有DNSSEC签名。此设置让用户既能利用BIG-IP DNS的DNSSEC控制功能，又能受益于Distributed Cloud DNS的全球覆盖和边缘交付能力。
无论将Distributed Cloud DNS用作主要权威平台，还是用作全球辅助平台来支持基于BIG-IP的架构，DNSSEC策略都能保持不变，同时兼具灵活性、安全性和性能优化。
借助DNSSEC和F5保护企业DNS
对于希望保护DNS基础设施免受缓存投毒、域名劫持及其他基于DNS的攻击的企业而言，DNSSEC至关重要。DNSSEC通过对DNS记录进行加密签名，确保数据的完整性和真实性，为注重安全的现代架构提供关键的信任保障。
Distributed Cloud DNS为企业提供内置的主区域DNSSEC支持，无需复杂运维即可轻松采用DNSSEC。对于已使用BIG-IP DNS作为DNSSEC签名权威服务器的组织，Distributed Cloud DNS还提供可靠的辅助DNS功能，可实现无缝区域传送和混合部署。无论是直接在Distributed Cloud中保护权威区域，还是利用BIG-IP DNS实施DNSSEC并受益于Distributed Cloud的全球分布式边缘，DNS都能兼具可扩展性与安全性。
详细了解 Distributed Cloud DNS 如何提供安全的辅助 DNS 服务。
相关博客文章
Thingbot正转变为攻击平台
Lori MacVittie重点介绍了F5 Labs对2018年1月至6月全球物联网设备攻击的研究，并指出了其中令人警醒的影响。物联网设备不仅持续遭到利用，还被转变为攻击平台，这意味着攻击者可以更充分地利用这个必然增长的市场。
借助F5全新Quick Start，在AWS上快速开展业务
在AWS re:Invent开幕前，我们很高兴与大家分享F5与AWS之间全新的Quick Start集成。F5的Tom Atkins将介绍该服务如何启动、配置和运行在AWS上部署工作负载所需的计算、网络、存储及其他AWS服务。