# 配置DNSSEC
#### DNSSEC简介
域名系统安全扩展（Domain Name System Security Extensions，DNSSEC），通过数字签名来保证DNS应答报文的真实性和完整性，能够保护用户不被重定向到非预期地址，防止DNS欺骗和缓存污染等攻击，保护用户核心业务。
#### 约束与限制
- 使用DNSSEC需要域名注册服务商和域名DNS服务商同时支持DNSSEC能力。
- DNSSEC不支持配置子域名。
- 关闭DNSSEC前需要先在域名服务商处删除DS记录。
- 在DNS控制台跨账号转移DNS解析时，需要先在域名注册服务商处删除DS记录，然后在DNS控制台关闭DNSSEC，否则可能导致解析失败。
- 在域名注册控制台跨账号转移域名时，需要先删除DS记录，然后在DNS控制台关闭DNSSEC，否则可能导致解析失败。
- 使用DNSSEC时请不要为主域名配置CNAME类型的记录集，否则会导致解析失败。
- 使用DNSSEC的域名在添加记录集时请不要启用"别名"配置，否则会导致解析失败。
 
#### 操作流程
DNSSEC操作流程详细内容请参见[图1]。
图1DNSSEC操作流程   
![](https://support.huaweicloud.com/usermanual-dns/zh-cn_image_0000001977624590.png "点击放大")
#### 操作步骤
1. **开启DNSSEC**
   
   1. 进入[公网域名列表页面](https://console.huaweicloud.com/dns/?#/dns/publiczones)。
   
   2. 单击待开启DNSSEC的公网域名的名称。
   
   3. 在页面上方，选择进入"DNSSEC"页面。
   
   4. 在DNSSEC页面，单击"开启DNSSEC"。
      图2开启DNSSEC   
      ![](https://support.huaweicloud.com/usermanual-dns/zh-cn_image_0000001981180520.png "点击放大") 
   
   5. 查看并记录页面下方的DNSSEC信息。
      记录密钥标签、摘要算法、摘要算法类型、摘要。
      图3查看DNSSEC信息   
      ![](https://support.huaweicloud.com/usermanual-dns/zh-cn_image_0000001981181324.png "点击放大") 
   
   6. 根据获取到的DNSSEC信息，前往域名注册服务商处配置DS记录。
   
   
   
   
2. **配置DS记录**
   
   域名注册服务商为华为云的DS记录配置指导详细请参见[域名系统安全扩展（DNSSEC）配置](https://support.huaweicloud.com/usermanual-domain/domain_ug_392006.html)。
   以下非华为云域名注册服务商的DS记录配置指导仅供参考，具体以域名注册服务商官网操作指导为准。
   1. 登录域名管理控制台。
   
   2. 在域名列表中，在目标域名所在行的操作列选择"更多 ＞管理"。
   
   3. 在域名管理页面，单击"DNSSEC"。
   
   4. 在DNSSEC页面，单击"添加DS记录"。
   
   5. 根据界面提示配置参数信息，输入[1.e]中获取到的DNSSEC信息。
      - **密钥标签（Key Tag）**：填写DNSSEC的"密钥标签"。
      
      - **加密算法（Algorithm）** ：填写DNSSEC的"签名算法类型"和"签名算法"。
        填写格式：签名算法类型-签名算法
        
      
      - **摘要类型（Digest Type）** ：填写DNSSEC的"摘要算法类型"和"摘要算法"。
        填写格式：摘要算法类型-摘要算法
        
      
      - **摘要（Digest）**：填写DNSSEC的"摘要"。
       
   
   6. 单击"确定"，完成配置。
   
   
   
   
 
#### 配置验证
配置验证后，请通过[测试工具](https://dnsviz.net/)验证配置是否生效。
- **配置生效** ：在测试页面中，如果所有层级均显示DS且未出现红色报错提示，表明DS功能已成功启用并生效。
  ![](https://support.huaweicloud.com/usermanual-dns/zh-cn_image_0000002409412201.png "点击放大")
  
- **配置未生效** ：当测试页面出现红框报错时，表明DNSSEC配置未生效，此时可[提交工单](https://console.huaweicloud.com/ticket/?locale=zh-cn#/ticketindex/serviceTickets)进行排查。
  ![](https://support.huaweicloud.com/usermanual-dns/zh-cn_image_0000002409417581.png "点击放大")
  
- **未配置DS记录或者未开启DNSSEC** ：下图红框所示位置中未展示DS信息，则表示未配置DS记录或者未开启DNSSEC，请排查DS配置并开启DNSSEC。
  ![](https://support.huaweicloud.com/usermanual-dns/zh-cn_image_0000002409511813.png "点击放大")