网站服务器和DNS记录看起来都没有变化，部分用户却突然提示域名无法解析；使用验证型递归DNS查询时返回 SERVFAIL，另一个不做验证的环境仍能拿到A记录。这种差异不一定是源站宕机。域名启用DNSSEC后，如果从父区到当前区域的验证链不完整或签名无效，严格验证的递归DNS会拒绝把结果交给用户。
DNSSEC为DNS数据提供来源认证和完整性校验，但不负责加密查询内容。它依靠父区DS、子区DNSKEY和各类记录的RRSIG逐层建立信任；其中任何关键环节不匹配，都可能让域名进入“有记录但验证失败”的状态。
DNSSEC验证链怎样工作
| 对象 | 所在位置 | 作用 |
|---|---|---|
| DS记录 | 父区，通常通过注册商提交 | 保存子区密钥的摘要，建立向下信任 |
| DNSKEY | 域名自己的权威区域 | 公布用于验证签名的公钥 |
| RRSIG | 与被签名记录一起返回 | 证明A、AAAA、MX等记录未被篡改且签名有效 |
| NSEC/NSEC3 | 权威区域 | 对“不存在的名称或记录类型”提供可验证证明 |
| 验证型递归DNS | 用户与权威DNS之间 | 沿信任链检查并决定返回答案还是失败 |
如果父区没有DS，子区即使有DNSKEY和签名，通常会被视为未建立DNSSEC信任的“不安全”区域，而不是自动报错。真正危险的是父区仍有DS，但它无法验证当前权威DNS发布的DNSKEY，域名就会被判定为bogus，验证型递归往往返回SERVFAIL。
最常见的DNSSEC故障
迁移DNS后，注册商仍保留旧DS
更换权威DNS服务商时，新平台生成了新的密钥，但父区DS仍指向旧密钥。普通记录已经在新权威服务器上生效，验证链却断了。这是迁移中非常典型的“记录看起来正确，验证用户打不开”。
密钥轮换顺序不正确
DNSKEY和DS的增加、等待、切换、删除需要按服务商的轮换流程进行，并预留缓存传播时间。先删除旧DNSKEY、后更新父区DS，可能让仍缓存旧DS的递归服务无法验证新区域。
RRSIG过期或尚未生效
签名有生效与失效时间。权威DNS没有及时重新签名、节点间区域数据不同步，或签名时间窗口配置错误，都可能导致部分记录失败。检查时要看具体记录集的RRSIG，而不是只确认“区域里有签名”。
系统时间偏差
验证依赖时间窗口。权威签名系统或验证端时间严重不准时，签名可能被判断为尚未生效或已经过期。服务器应使用可靠的时间同步，并检查时区显示与UTC时间的区别。
权威节点返回不一致
同一组NS中的部分服务器有新DNSKEY，另一部分仍返回旧签名，会造成用户时好时坏。需要逐个向每台权威服务器查询DNSKEY、目标记录和RRSIG。
SERVFAIL为什么不能直接等于DNSSEC故障
SERVFAIL只是递归DNS表示无法完成查询，超时、权威服务器不可达、区域配置错误、循环依赖和DNSSEC验证失败都可能触发。要证明与DNSSEC有关，需要查看验证状态和详细诊断，而不是只凭一行状态码。
一个有价值的对照是：验证开启时失败，而在明确关闭验证的诊断环境中能返回记录，同时工具指出DS、DNSKEY或RRSIG错误。这个对照应仅用于定位，不能建议用户长期换到不验证DNSSEC的服务来绕开问题。
站长应该怎样逐级排查
- 确认当前NS委派。从注册层查看域名实际使用哪些权威服务器，并逐个查询是否响应一致。
- 读取父区DS。记录密钥标签、算法、摘要类型和摘要值，确认它属于当前DNS平台。
- 读取子区DNSKEY。检查能否找到与DS匹配的密钥，并确认DNSKEY响应自身带有有效签名。
- 检查目标记录的RRSIG。关注签名者名称、生效时间、到期时间以及权威节点间一致性。
- 沿链验证。使用支持DNSSEC的诊断工具从根区、顶级域到当前区域逐级查看，定位第一次出现不一致的位置。
- 比较多个验证型递归DNS。记录查询时间和结果。修复后仍有短暂差异，可能与旧DS、DNSKEY或失败结果的缓存有关。
命令行环境中常用 dig +dnssec 查看DNSSEC相关记录，dig +trace 辅助观察委派链；是否显示 ad 标志还取决于查询的是不是验证型递归服务。不会解读时，应使用DNS服务商提供的官方诊断和支持渠道，不要随意删除密钥。
修复和迁移时怎样降低风险
先导出当前NS、DS、DNSKEY和关键记录作为回滚证据，再按照当前DNS服务商与注册商的官方DNSSEC流程处理。托管DNS通常会给出需要提交的DS参数，逐字段复制，不能自行猜测算法或摘要。
如果迁移方案要求先关闭DNSSEC，应先在父区正确撤销DS并等待相关缓存窗口，再切换到未签名状态；如果要保持验证连续性，则需要按预发布新密钥、更新DS、等待缓存、撤销旧密钥的规范流程执行。具体顺序取决于平台支持能力，不能用一套固定时间表覆盖所有注册局和DNS商。
DNSSEC正常也不代表网站一定可用
验证通过只证明DNS数据的签名链成立。A或AAAA仍可能指错服务器，HTTPS证书仍可能过期，源站和CDN也可能故障。修复后要再次检查解析、TCP连接、TLS证书和HTTP状态，避免DNSSEC恢复了却遗漏应用层问题。
需要DNS和站长诊断入口时，可以从极跃圈网址导航查找。故障记录中保留父区DS、子区DNSKEY、RRSIG时间、逐个权威节点结果和多个验证型递归响应，才能把“部分用户打不开”落实到可复查的验证链问题。
