Scope
This original IROSG guide covers اعتبارسنجی DNS با DNSSEC using the cited primary documentation.
Core model
DNSSEC recordهای DNS را با امضای دیجیتال قابل اعتبارسنجی می‌کند. DNSKEY کلید zone را معرفی می‌کند، RRSIG امضای RRset است و DS در parent پیوند اعتماد را به child zone ایجاد می‌کند.
Practical workflow
dig +dnssec و resolver validating را برای مشاهدهٔ AD flag، DNSKEY، DS و RRSIG استفاده کنید. rollover کلید باید با TTL و propagation هماهنگ باشد.
Failure modes
DNSSEC confidentiality نمی‌دهد؛ query هنوز قابل مشاهده است مگر DoT/DoH یا مسیر امن دیگری استفاده شود. DS اشتباه در parent می‌تواند zone سالم را برای validating resolver کاملاً bogus کند.
Lab
یک zone آزمایشی sign کنید، validation را فعال کنید و سپس DS یا signature را عمداً خراب کنید. تفاوت SERVFAIL validating resolver با resolver بدون validation را ببینید.
Production method
Capture a baseline, change one variable at a time, test positive and negative paths, keep evidence, and rehearse rollback before broad rollout.
