انتقل إلى المحتوى
مساعدة طارئةابدأ الآن
العودة إلى الأدوات

أداة فحص DNSSEC

تحقّق مما إذا كانت إجابات DNS لنطاق ما موقَّعة وتجتاز التحقق. تستعلم الأداة من مُحلِّل DNS يتحقق من التواقيع، وتقرأ سجلات DS وDNSKEY، وتشرح معنى أي فشل.
ابدأ فحصًا
  • فحص غير اقتحامي
  • DNS over HTTPS

ما فحص DNSSEC؟

يوقّع DNSSEC (امتدادات أمان DNS) سجلات DNS حتى تتمكن مُحلِّلات DNS من التأكد من أن الإجابة صادرة عن منطقة DNS الحقيقية للنطاق وأنها لم تُغيَّر في الطريق. ويعمل على هيئة سلسلة: تنشر المنطقة الأم، مثل .com، سجل DS يطابق أحد سجلات DNSKEY الخاصة بالنطاق، وتُوقَّع سجلات النطاق بتلك المفاتيح.

ترسل الأداة استعلاماتها عبر DNS-over-HTTPS إلى مُحلِّل DNS عام يتحقق من التواقيع: Cloudflare 1.1.1.1، مع Google Public DNS بديلًا احتياطيًا. إذا عيّن مُحلِّل DNS علامة AD، فقد اجتازت الإجابة التحقق. وإذا فشل استعلام مع تفعيل التحقق ونجح مع تعطيله، فالسلسلة معطوبة.

ما يعرضه فاحص DNSSEC

يقرأ كل فحص بيانات DNS العامة عبر مُحلِّل DNS يتحقق من التواقيع. وتتبع توصيات الخوارزميات سجلات IANA التي جعلها RFC 9904 المرجع المعتمد.

علامة AD

يعيّنها مُحلِّل DNS الذي يتحقق من التواقيع عندما يكون كل سجل في الإجابة قد اجتاز التحقق باستخدام DNSSEC.

سجل DS

يُنشر في المنطقة الأم عبر مسجِّل النطاق. ويجب أن يطابق وسم المفتاح والخوارزمية فيه سجل DNSKEY في منطقتك. توصي IANA باستخدام SHA-256 (نوع الملخّص 2)، وتنص على عدم جواز استخدام SHA-1 للتفويض.

سجلات DNSKEY

المفاتيح العامة لمنطقتك. تعيّن قيمة الأعلام 257 بت نقطة الدخول الآمنة (Secure Entry Point)، المستخدَم لمفتاح توقيع المفاتيح (KSK) الذي يشير إليه سجل DS؛ أما 256 فتعني مفتاح توقيع المنطقة (ZSK).

الخوارزمية

تُدرج IANA الخوارزميات 8 (RSASHA256) و13 (ECDSAP256SHA256) و15 (ED25519) على أنها موصى بها للتوقيع، وتنص على عدم جواز استخدام الخوارزميتين 5 و7 (RSA مع SHA-1) للتوقيع.

فشل التحقق

SERVFAIL مع تفعيل التحقق، لكن تُرجَع إجابة مع تعطيله. ولا يستطيع مستخدمو مُحلِّلات DNS التي تتحقق من التواقيع تحليل النطاق إلى أن يتطابق سجل DS والمفاتيح مجددًا.

ماذا تعني النتيجة

DNSSEC مفعّل ويجتاز التحقق

وثّق مُحلِّل DNS يتحقق من التواقيع الإجابة (علامة AD معيّنة): المنطقة موقَّعة، وسجل DS الخاص بها في المنطقة الأم يطابق مفاتيحها.

DNSSEC غير مفعّل

لا يملك النطاق سجل DS في المنطقة الأم ولا ينشر أي سجلات DNSKEY، لذا لا يمكن توثيق إجابات DNS الخاصة به.

المنطقة موقَّعة، لكن سجل DS مفقود

تنشر المنطقة سجلات DNSKEY، لكن المنطقة الأم لا تحتوي على سجل DS لها، لذا تعاملها مُحلِّلات DNS على أنها غير موقَّعة. أضف سجل DS الذي يوفّره مزوّد DNS لدى مسجِّل النطاق.

فشل التحقق من DNSSEC

تُرجع مُحلِّلات DNS التي تتحقق من التواقيع SERVFAIL لهذا الاسم، ولا تعود الإجابة إلا عند تعطيل التحقق. لا يستطيع الزوار الذين يستخدمون مُحلِّلات تتحقق من التواقيع الوصول إليه. ويعني هذا عادةً أن سجل DS لدى مسجِّل النطاق لم يعد يطابق مفاتيح المنطقة.

فحوصات ذات صلة والخطوات التالية

خدمات Cloudflare المُدارة

حافظ على ضبط Cloudflare ومراقبته وتحسينه. تتولى Vigilbase التغييرات والاستجابة للحوادث المتفق عليها، مع خيارات تغطية Core وPriority وCritical.

استكشف خدمات Cloudflare المُدارة

SOC مُدار

SOC مُدار على أدوات الأمان التي تدفع مقابلها بالفعل. يحقق وكيل Vigil، ويتولى محللونا الحالات الاستثنائية، وتتبع التغطية مستوى اتفاقية الخدمة لديك.

استكشف خدمة SOC المُدارة
راسل خبير أمن

المصادر

الأسئلة

أسئلة شائعة عن أداة فحص DNSSEC

كيف أتحقق مما إذا كان DNSSEC مفعّلًا؟

استعلم عن سجل DS للنطاق في المنطقة الأم وعن سجلات DNSKEY الخاصة به، ثم اطلب أحد سجلاته من مُحلِّل DNS يتحقق من التواقيع وتحقّق من علامة AD. تنفّذ الأداة الخطوات الثلاث كلها.

كيف أفعّل DNSSEC؟

فعّل توقيع DNSSEC لدى مزوّد DNS، الذي ينشر سجلات DNSKEY ويعطيك سجل DS. أضف سجل DS هذا لدى مسجِّل النطاق. تبدأ مُحلِّلات DNS في التحقق بمجرد أن تنشره المنطقة الأم.

ماذا يحدث عندما يتعطل DNSSEC؟

تُرجع مُحلِّلات DNS التي تتحقق من التواقيع، بما فيها Cloudflare 1.1.1.1 وGoogle Public DNS، الاستجابة SERVFAIL، فلا يستطيع مستخدموها تحليل النطاق. والسبب المعتاد سجل DS لم يعد يطابق مفاتيح المنطقة بعد تغيير المفاتيح أو الانتقال إلى مزوّد DNS جديد.

ما خوارزمية DNSSEC التي ينبغي أن أستخدمها؟

يُدرج سجل IANA الخوارزميات 8 (RSASHA256) و13 (ECDSAP256SHA256) و15 (ED25519) على أنها موصى بها للتوقيع. وتنتج الخوارزمية 13 تواقيع أصغر بكثير من RSA.

هل يشفّر DNSSEC بيانات DNS؟

لا. يثبت DNSSEC أن إجابات DNS أصلية ولم تُغيَّر؛ لكنه لا يخفيها. أما وسائل النقل المشفّرة مثل DNS over HTTPS فتحمي الاستعلامات أثناء انتقالها.

هل يُخزَّن الفحص؟

لا. لا تُخزَّن النتائج. تذهب الاستعلامات إلى مُحلِّل DNS العام، الذي يستعلم عن النطاق كما يفعل لأي زائر.مقارنة الفحوصات الأمنية العامة