Как включить несвязанный DNS-резольвер DNSSEC в Mac OS X 10.10.3 Yosemite
Я использую Mac OS X 10.10.3 Yosemite. Совсем недавно был обновлен со Snow Leopard (10.6.8) до Yosemite.
ШАГИ A: В MacBook я вхожу в привилегированную учетную запись типа администратора и установил последний бесплатный "Xcode" из Apple App Store. С помощью Xcode добавлены "Инструменты командной строки" и т. Д.
Steps-Б:
Установлен Homebrew, с https: //brew.sh/ website. Скопируйте нижеприведенный код командной строки в Terminal с сайта homebrew:ruby -e "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install)"
Выше процесс / скрипт проверяет наличие различного необходимого программного обеспечения и настроек, и он показывает (информация и статус в окне терминала, вкл.), Какие еще команды или инструменты необходимы для получения или выполнения, я следовал за ними.
Steps-C:
Когда "homebrew" и связанные с ним шаги установки были выполнены, затем установили "openssl" и "unbound" с помощью инструмента "brew" через командные строки в Терминале:
• brew help
• brew update
• brew install unbound openssl
• sudo cp -fv /usr/local/opt/unbound/*.plist /Library/LaunchDaemons
• sudo chown root /Library/LaunchDaemons/homebrew.mxcl.unbound.plist
• sudo launchctl load -w /Library/LaunchDaemons/homebrew.mxcl.unbound.plist
• brew upgrade --all
Steps-D:
Один раз перезапустил MacBook, а затем попробовал выполнить команды "dig", и он не показал флаг "ad" в результате запроса dns, что указывает на то, что DNSSEC-аутентифицированное разрешение DNS по-прежнему не работает и отключено!
dig @127.0.0.1 in TLSA _443._tcp.www.dnssec-validator.cz. +dnssec
dig @127.0.0.1 in TLSA _443._tcp.www.isc.org. +dnssec
dig @192.168.10.1 in TLSA _443._tcp.www.dnssec-validator.cz. +dnssec
dig @192.168.10.1 in TLSA _443._tcp.www.isc.org. +dnssec
192.168.10.1 - это мой (интернет-маршрутизатор) шлюз для основного сетевого интерфейса / адаптера, который подключен к Интернету. Мой сетевой адаптер в настоящее время использует 192.168.10.50, динамический (не фиксированный) IP-адрес на основе DHCP.
К сожалению, разработчики на сайте https://unbound.net/ не предоставляют автономный "несвязанный" установочный файл pkg или dmg для Mac OS X. Они также не (активно) разрабатывают приложение "DNSSEC-Trigger". В Snow Leopard я использовал только "несвязанную" часть из пакета "dnssec-trigger". Я смог отключить их часть "dnssec-trigger" и продолжил работу "unbound" после того, как следовал советам, показанным в их архиве списка рассылки, и таким образом мне не нужно было устанавливать какие-либо инструменты командной строки Xcode или homebrew,
Что я должен / могу сделать сейчас? так что все приложения MacBook могут использовать "несвязанный" распознаватель dnssec для всех приложений / клиентов, где "несвязанный" распознаватель будет прослушивать 127.0.0.1:53 (ip.address: порт) для запросов dnssec и dns.
1 ответ
Этот набор шагов работал на Mac OS X Yosemite MacBook.
Так что я отвечаю с общей проработкой, чтобы прояснить новичкам, если вы не новичок, пожалуйста, пропустите то, что вам не нужно.
Во-первых, пожалуйста, смотрите ШАГИ (иначе, STAGE), уже упомянутые OP (оригинальный постер), в первом (самом главном) вопросе.
Если вы не хотите устанавливать очень большую установку "XCode", то смотрите ниже "Steps-E-03".
Steps-E:
Шаги-E-01: Моя собственная учетная запись в Mac OS - "Erik-user", это "Стандартная" учетная запись пользователя, которую я обычно использую для общего назначения.
Но "Эрик" предназначен для административных целей, это тип администратора, привилегированная учетная запись. Я использую учетную запись "Эрик".
Шаги-E-02: Чтобы включить отображение скрытых файлов в файловом браузере Finder, используйте следующие команды в Терминале: defaults write com.apple.Finder AppleShowAllFiles TRUEdefaults write com.apple.finder AppleShowAllFiles TRUE
а затем выйдите и войдите обратно в учетную запись MacOS или перезапустите MacOS. Теперь "Finder" должен показать вам все файлы и папки, в [ | | ] режим столбца.
Если вы уже установили "Xcode" и домашний напиток, пропустите пункт "Steps-E-03" и остальную часть "Steps-E". И перейти и следовать из "Steps-F".
Steps-E-03:
Если вы хотите ИЗБЕЖАТЬ установки очень больших ГИБАЙТОВ установки XCode (около 4–6 ГБ), то выполните эту команду в Терминале: xcode-select --install
и на экране появится новое окно, в котором выберите только параметр / часть "Инструменты командной строки" (CLT), даже если оно говорит / подсказывает вам установить полный "Xcode".
Затем проверьте установку CLT: запустите в Терминале: xcode-select -p
Если он отображает: /Library/Developer/CommandLineTools
установка CLT прошла успешно.
Mac OS X Yosemite позволяет устанавливать только часть CLT, некоторые из предыдущих Mac OS X не допускали CLT без Xcode.
Также проверьте, присутствует ли сейчас инструмент "gcc" или нет: так что в Terminal запустите: gcc --version
Шаги-E-04: установить homebrew, поэтому в Terminal запустите: ruby -e "$(curl -fsSL https://raw.githubusercontent.com/Homebrew/install/master/install)"
Пожалуйста, см. Http s: // brew.sh / website для актуальной и текущей команды "ruby", показанной выше.
Затем в Терминале выполните эти команды:
• brew help
• brew update
• brew install unbound openssl
Steps-E-05:
• sudo cp -fv /usr/local/opt/unbound/*.plist /Library/LaunchDaemons
• sudo chown root:wheel /Library/LaunchDaemons/homebrew.mxcl.unbound.plist
• sudo launchctl load -w /Library/LaunchDaemons/homebrew.mxcl.unbound.plist
Если вы выполнили "Шаги-E-03" до "...E-05", пропустите "Шаги-F" и начните следовать с "Шаги-G".
Steps-F:
Файл "homebrew.mxcl. Unbound.plist " (который запускает "несвязанный" DNS-сервер) особенно должен иметь правильное владение, чтобы сама система Mac OS X могла запустить его во время загрузки или перезапуска, поэтому выполните эту команду в терминале: sudo chown root:wheel /Library/LaunchDaemons/homebrew.mxcl.unbound.plist
Примечание. После обновления / обновления приложений homebrew нам может понадобиться выполнить эту команду еще раз, если после перезагрузки / перезапуска не удается запустить "несвязанный" преобразователь.
Steps-G:
Загрузите " Lingon " (с сайта http: // sourceforge.net / projects / lingon / site). Установите это. Запустите Lingon.
Steps-Н:
Внутри Lingon найдите " homebrew.mxcl.unbound " в разделе "ПОЛЬЗОВАТЕЛИ".
В текстовом поле "Что" должно отображаться, как показано ниже: /usr/local/opt/unbound/sbin/unbound -d -c /usr/local/etc/unbound/unbound.conf
Выберите и скопируйте последнюю часть "/usr/local/etc/unbound/unbound.conf".
ШАГИ-I: (Шаги-I)
В окне терминала оболочки введите & вставить: sudo nano /usr/local/etc/unbound/unbound.conf
или, если вы установили " Bluefish " (текстовый редактор: http: // sourceforge.net / projects / bluefish /), запустите его и откройте этот файл "unbound.conf" для редактирования текста.
Steps-J:
Файл unbound.conf содержит много страниц информации о конфигурации и примеров команд config.
См. Ниже коды, добавьте только эти ниже строки кода config-command внизу файла unbound.conf или в соответствующем разделе. Просто убедитесь, что перед этими командными строками не ставится символ #. Если символ "#" помещен в начало, то он отключит эту командную строку конфигурации и превратит ее в простую строку "комментарий".
server:
verbosity: 1
num-threads: 2
interface: 127.0.0.1
interface: ::1
port: 53
do-ip4: yes
do-ip6: yes
do-udp: yes
do-tcp: yes
do-daemonize: yes
#module-config: "[dns64] [validator] iterator"
module-config: "validator iterator"
auto-trust-anchor-file: "/usr/local/etc/unbound/root.key"
#dlv-anchor-file: "/usr/local/etc/unbound/dlv.isc.org.key"
Примечание: я пропустил показ инструкции для DLV DNSSEC, поэтому добавил символ (показанный выше) перед строкой "dlv-anchor-file", чтобы отключить ее. И одна из строк "module-config" также отключена, поскольку я не хочу пока разрешать связанные с DNS64.
Steps-K:
И установите владельца файла: sudo chown root /usr/local/etc/unbound/unbound.conf
и установите права доступа к файлам для разных владельцев: sudo chmod 644 /usr/local/etc/unbound/unbound.conf
Дополнительную информацию об изменении прав доступа к файлам и прав собственности, читайте или просматривайте: http: // ss64.com /osx/chown.html и http: // ss64.com /osx/chmod.html
Уровень разрешений 4 = чтение, 2 = запись, 1 = e ecute. Трехзначный номер предназначен для 3 видов собственности: Владелец-Группа-Другое.
Используя графический интерфейс Finder, вы также можете установить права доступа и владельца файла вместо использования командных строк в Терминале: выберите файл в Finder, нажмите кнопки Cmd+i вместе, перейдите ниже в разделе "Общий доступ и разрешения", Столбец "Имя" показывает список пользователей / групп, которым принадлежит владелец, а столбец "Привилегия" показывает уровень разрешений на чтение / запись файла для разных владельцев. Измените рекомендуемый выбор и уровень предпочтений, показанный здесь.
За исключением очень надежного человека и только компонентов системы ядра (операционной системы) этого компьютера, никто (и никакой другой объект) не должен иметь возможность (редактировать и изменять или) записывать в некоторые из конфиденциальных файлов и папок Вот почему нам нужно установить "Уровень разрешений" для файлов и папок. "6" в "644" (который используется в командной строке "chmod") указывает уровень разрешений текущего пользователя (он же "Я"), и текущий пользователь ("Я") имеет ("6" может быть разбит на 4+2) права чтения + записи уровня. Середина "4" в "644" - это разрешение для типа пользователя или группы пользователей, и эта группа / тип пользователей имеет ("4") разрешения на уровне чтения. Тогда крайняя правая сторона "4" в "644" - это разрешение для пользователей "Все / Другие" / "Мир", и они имеют ("4") разрешения на чтение.
Steps-L:
Проверьте, есть ли в конфигурации файла "unbound.conf" какая-либо ошибка, с помощью этой команды в Терминале: sudo /usr/local/opt/unbound/sbin/unbound-checkconf "/usr/local/etc/unbound/unbound.conf"
Steps-М:
ПОЛУЧЕНИЕ root.key (root anchor) и проверьте:
Следуйте инструкциям, приведенным в ОПЦИИ-1, если у вас нет файла "root.key" для "несвязанного" DNS-сервера /Resolver, и вы хотите вручную создать "начальный" файл root.key самостоятельно с очень тщательной проверкой, и если вы хотите, чтобы демон DNS-сервера без привязок обновил этот начальный root.key, с полным рабочим кодом root.key и временными метками.
Следуйте инструкциям, приведенным в ОПЦИИ-2, если у вас нет (начального или рабочего) файла "root.key", и если вы хотите, чтобы инструмент "unbound-anchor" БЫСТРО создал его для вас.
Следуйте инструкциям, приведенным в ОПЦИИ-3, если у вас нет (исходного или рабочего) файла "root.key", но вы надежно получили файл "icannbundle.pem" с официального сайта IANA/ICANN и хотите "unbound- Якорь "инструмент для его создания (полный рабочий root.key) очень надежно.
Следуйте инструкциям, приведенным в ОПЦИИ-4, если у вас нет (начального или рабочего) файла "root.key", но у вас есть доступ к другому "безопасному" или "защищенному" компьютеру, где вы можете безопасно получить файлы из прав доступа веб-сайты, или вы можете скопировать с него рабочий файл "root.key" для своего компьютера MacOSX.
ПОЛУЧЕНИЕ root.key и подтверждение, ВАРИАНТ 1:
Обычный пользователь может захотеть просмотреть или получить (или вручную создать) правильное " исходное " "root.key" (также называемое начальное отношение root-trust-anchor) через HTTPS (зашифрованное и не перехваченное и защищенное) соединение с веб-сайта органа IANA: root-anchors.xml или получите начальную привязку на веб-сайте уполномоченного органа ICANN, а затем обычный пользователь ДОЛЖЕН сравнить + проверить код содержимого файла XML с локальным исходным файлом root.key.
Нажмите на приведенную выше XML-ссылку на URL, а затем проверьте наличие значка LOCK, отображаемого в строке URL веб-браузера (что свидетельствует о том, что используется зашифрованное соединение HTTPS), а также проверьте цвет "DNSSEC-Validator". значок состояния "(и"TLSA-Validator"), (он должен отображать изображение KEY-значка зеленого цвета).
Загрузите файл XML или скопируйте и вставьте содержимое, показанное в файле XML, в файл "root-anchors.xml" и поместите / переместите его в ту же папку, где находится файл "unbound.conf".
А теперь скопируйте файл "root-anchors.xml" в ту же папку и переименуйте файл "root-anchors Copy.xml" в "root.key".
И отредактируйте этот файл "root.key" (с помощью приложения текстового редактора nano или Bluefish). И измените / перегруппируйте существующий синтаксис / формат XML в формат, показанный ниже в строке кода " DS ". Убедитесь, что все числа и хеш-коды в "root.key" в точности совпадают с числами и хэш-кодами, показанными в файле "root-anchors.xml" этой веб-страницы полномочий IANA. Формат / синтаксис в этих двух файлах будет разным, но код и номера хешей должны быть одинаковыми.
В настоящее время (июнь 2015 г.) начальный якорь доверия 2010-2011 (начальный root.key) для корневой зоны выглядит следующим образом.
. IN DS 19036 8 2 49AAC11D7B6F6446702E54A1607371607A1A41855200FD2CE1CDDE32F24E8FB5
И затем установите владельца файла: sudo chown root /usr/local/etc/unbound/root.key
и установите разрешения: sudo chmod 644 /usr/local/etc/unbound/root.key
Коды, показанные в приведенной выше строке кода " DS " (которая также должна присутствовать в НАЧАЛЬНОМ файле "root.key"), известны как " Initial Anchor ". Unbound серверный демон или инструмент "unbound-anchor" может обновить исходный файл с работающим полным root.key с соответствующими кодами и временными метками.
ПОЛУЧЕНИЕ root.key и подтверждение, ВАРИАНТ 2:
Другой БЫСТРЫЙ (короткий) способ (и не очень безопасный / заслуживающий доверия способ) получить + создать файл "root.key" - использовать инструмент unbound "unbound -anchor " с помощью команды в Терминале: sudo /usr/local/opt/unbound/sbin/unbound-anchor -a "/usr/local/etc/unbound/root.key"
С помощью приведенной выше команды инструмент unbound-anchor получает соответствующие коды или файлы с веб-сайтов уполномоченных (если найдена более новая версия) с помощью внутренних сертификатов, а затем создает файл "root.key", содержащий рабочие коды и временные метки.
А затем установите для него право собственности на файл: sudo chown root /usr/local/etc/unbound/root.key
и установите разрешения: sudo chmod 644 /usr/local/etc/unbound/root.key
ПОЛУЧЕНИЕ root.key и подтверждение, ВАРИАНТ 3:
Этот инструмент (unbound-anchor) также может получить и создать работающий "root.key" даже БОЛЬШЕ БЕЗОПАСНО, если файл / icannbundle.pem предоставлен / использован.
Таким образом, 1-ый надежно получите файл icannbundle.pem с веб-сайта уполномоченного органа IANA http s: // www. iana.org / dnssec / files (и убедитесь, что на URL-панели вашего веб-браузера отображается значок LOCK и KEY-значок dnssec зеленого цвета) и поместите / загрузите файл pem в этот каталог: /usr/local/etc/unbound
И затем установите владельца файла: sudo chown root /usr/local/etc/unbound/icannbundle.pem
и установите разрешения: sudo chmod 644 /usr/local/etc/unbound/icannbundle.pem
Затем получите + создайте работающий root.key очень безопасно, используя эту команду в Терминале: sudo /usr/local/opt/unbound/sbin/unbound-anchor -a "/usr/local/etc/unbound/root.key" -c "/usr/local/etc/unbound/icannbundle.pem"
С помощью приведенной выше команды инструмент unbound-anchor получает соответствующие коды или файлы с веб-сайтов уполномоченных (если обнаружена более новая версия) с помощью внутренних сертификатов, а затем проверяет подлинность полученного кода с помощью файла криптографического ключа icannbundle.pem, а затем создает Файл "root.key", содержащий рабочие коды и временные метки.
И теперь мы можем установить владельца файла на root.key: sudo chown root /usr/local/etc/unbound/root.key
и установите разрешения: sudo chmod 644 /usr/local/etc/unbound/root.key
Для получения более подробной информации перейдите по ссылке: http s: // unbound.net /documentation/howto_anchor.html, а также проверьте http s: // unbound.net /documentation/unbound-anchor.html.
ПОЛУЧЕНИЕ root.key и подтверждение, ВАРИАНТ 4:
Примечание. Пользователь / посетитель предполагает использовать уже предварительно настроенное программное обеспечение безопасного компьютера и веб-браузера для "безопасного" получения / загрузки этих файлов (root-anchors.xml или icannbundle.pem и т. Д.) С веб-сайта уполномоченных органов ICANN или IANA. Программное обеспечение веб-браузера ДОЛЖНО иметь расширение DNSSEC-Validator (и TLSA-Validator) (также известное как DNSSEC/TLSA-Validator) (дополнение с этого сайта https://www.dnssec-validator.cz/). и этот компьютер также должен иметь локальный полный DNS-сервер или распознаватель с поддержкой DNSSEC.
И затем в таком веб-браузере пользователь / посетитель может видеть правильный значок состояния DNSSEC & DANE/TLSA (зеленый KEY-значок) для каждого посещающего веб-сайта (который соответствующим образом подписан DNSSEC).
Если на этом компьютере "SAFE" и "SECURED" используется "несвязанный" DNS-сервер / резолвер, вы можете скопировать этот файл "root.key" с него на компьютер Mac OS X, если вы не хотите заходить на авторитетные веб-сайты. & хотите избежать тщательной проверки, а также когда вы хотите быстро настроить второй / другой компьютер.
Также загрузите эти расширения / дополнения Firefox, а затем включите "панель надстроек" (аналогично строке состояния) в нижней части Firefox, чтобы просмотреть дополнительную информацию о расположении веб-сервера и обратном адресе DNS, а также дополнительную информацию о сертификате TLS/SSL сервера:
CipherFox, Cert Viewer Plus, Calomel SSL Validation, HTTPS-Everywhere, WorldIP, Классический реставратор тем и т. Д.
КОНЕЦ ПОЛУЧЕНИЯ ОТКРЫТОГО ШАГА, СВЯЗАННОГО С "ROOT.KEY".
Steps-N:
На компьютере Mac OS X перейдите в " Системные настройки "> " Сеть" и выберите каждый "WiFi" и каждую сетевую карту / адаптер "Ethernet", которые подключены к Интернету на вашем компьютере Apple MacBook>, перейдите / нажмите "Дополнительно". > перейдите на вкладку "DNS"> (запишите, какой адаптер имеет какой набор DNS-серверов в документе, а затем один за другим адаптер) удалите перечисленные там DNS-серверы и убедитесь, что только один DNS Сервер указан / указан: 127.0.0.1
Вышеуказанные шаги создадут + добавить код "nameserver 127.0.0.1" внутри файла /etc/resolv.conf.
ШАГИ-О: (шаги-о)
Если вы используете 10.10.3 или более раннюю версию, оставьте mDNS (mDNSResponder) полностью отключенным. Используя приложение "Lingon", найдите mDNS ("com.apple. M DNSResponder "), проверьте все 4 раздела внутри Lingon, особенно в разделе "СИСТЕМНЫЕ ДЕМОНЫ", нажмите на текст "Показать" рядом с каждым разделом, чтобы просмотреть полный список.
mDNS снова включен в 10.10.4 (по обновлениям Apple), поэтому, если вы используете 10.10.4, временно отключите его только для этих шагов-o.
Если он активен или обнаружен в 10.10.3 или более ранней версии, снимите / снимите флажок "Включено" в Lingon, чтобы отключить его, введите пароль администратора, сохраните / ок.
Когда mDNS активен, он начинает разрешать DNS, а также выполняет множество других действий автоматически (например, обнаружение и настройка UPnP IGD и NAT-PMP и т. Д.) Без получения разрешения владельца компьютера или без отображения какой-либо информации (или таблицы информация) владельцу компьютера, что именно он делает. Таким образом, mDNS не показывает владельца компьютера, какую-либо информацию о том, какие приложения ему разрешены, что делать и какие действия порта / трафика происходят на вашем компьютере или через него и т. Д., Ни одна из них не отображается владельцу компьютера, поэтому mDNS не приложение с некоторыми хорошими технологиями для людей и их безопасности компьютера и безопасности. И mDNS сам по себе также не поддерживает полный DNSSEC, если не используется хотя бы один локальный / удаленный сервер BIND или Unbound full dnssec dns.
Steps-P:
Если вы используете 10.10.3 или более раннюю версию, то временно отключите ее только для этих шагов-p. Используя Lingon, найдите "com.apple.networking. Discoveryd" в разделе "СИСТЕМНЫЕ ДЕМОНЫ". Снимите или снимите флажок "Включено" в Lingon, чтобы временно отключить его, введите пароль администратора, сохраните / ок. Мы отключаем его, чтобы он мог полностью забыть предыдущие / старые DNS-серверы, которые были получены из настроек DNS сетевого адаптера (он забудет после одного перезапуска с этого этапа).
Discoveryd удален из 10.10.4 (обновлениями Apple), поэтому, если вы используете 10.10.4, отключите его полностью, если он все еще существует.
Steps-Q:
Используя Lingon, найдите "com.apple. Dnsextd " в разделе "СИСТЕМНЫЕ ДЕМОНЫ". Снимите / снимите флажок "Включено" в Lingon, чтобы отключить / деактивировать его, введите пароль администратора, сохранить / ок.
Steps-R:
В терминале запустите: dig @127.0.0.1 in TLSA _443._tcp.www.isc.org. +dnssec
И откройте "App Store" и посмотрите, сможет ли он вытащить содержимое / элементы домашней страницы.
Перезагрузите / перезапустите MacOSX один раз.
Steps-S:
Шаги-S-01: Если вы используете 10.10.3 или более раннюю версию, то включите "discoveryd" назад, сейчас, на этом этапе этой инструкции-s. Снова используйте Lingon, найдите "com.apple.networking. Discoveryd". Выберите / отметьте опцию "Включено", введите пароль администратора, сохраните / ок.
Discoveryd удален из 10.10.4 (обновлениями Apple), поэтому, если вы используете 10.10.4, то по-прежнему оставляйте "discoveryd" отключенным, если он все еще существует.
Шаги-S-02: Если вы используете 10.10.4 или новее, то включите "mDNS" назад, сейчас, на этом этапе. Снова используйте Lingon, найдите "com.apple. M DNSResponder " в разделе "СИСТЕМНЫЕ ДЕМОНЫ". Выберите / отметьте опцию "Включено", введите пароль администратора, сохраните / ок.
Шаги S-03: Многие приложения используют системное / стандартное разрешение DNS, когда это разрешено и обслуживается (показанным выше) демоном "discoveryd" (он же Discovery Daemon), в 10.10.3 и более ранних версиях Mac OS X, или служба разрешения DNS разрешен доступ для демона mDNS в Mac OS X 10.10.4 или новее. Теперь любой из этих демонов должен иметь возможность изучать и разрешать другим приложениям использовать новую службу DNSSEC DNS-сервера, работающую на 127.0.0.1 port-53, которая является указанный в настройках DNS сетевого адаптера, (после одного перезапуска с этого этапа).
Steps-T:
В терминале запустите: dig @127.0.0.1 in TLSA _443._tcp.www.isc.org. +dnssec
И откройте "App Store" и посмотрите, сможет ли он вытащить содержимое / элементы домашней страницы.
Перезагрузите / перезапустите еще раз.
Steps-U:
Теперь в Терминале запустите команды "dig" и проверьте, показывают ли результаты запроса " ad " во флаге, а статус показывает "NOERROR". Если эти индикаторы присутствуют, то полное разрешение dnssec dns работает с локального распознавателя dnssec, работающего на 127.0.0.1 и прослушивающего порт 53/DNS.:)
dig @127.0.0.1 in TLSA _443._tcp.www.dnssec-validator.cz. +dnssec
dig @127.0.0.1 in TLSA _443._tcp.www.isc.org. +dnssec
dig @127.0.0.1 in TLSA _443._tcp.www.statdns.net. +dnssec
ping yahoo.com
nslookup yahoo.com
Если "nslookup" или "ping" сработали, то это указывает на то, что DNS-сервер по умолчанию работает.
Удалите часть "@127.0.0.1" из вышеуказанных команд "dig" и проверьте, совпадают ли результаты (т. Е. Флаг "ad" все еще отображается, и если результаты копания все еще показывают, он по умолчанию использовал 127.0. 0.1 как DNS-сервер), то это означает, что по умолчанию локальный 127.0.0.1 DNS-сервер используется в качестве общесистемного DNS-сервера / резолвера (почти для всех приложений / инструментов), и разрешение на основе dnssec также работает.
Steps-V:
Некоторые инструменты и приложения не полностью используют другие DNS-серверы, они содержат свои собственные внутренние полные библиотеки разрешения DNSSEC/DNS и связанные коды или содержат частичные коды библиотек, поэтому проверки DNS только с помощью таких инструментов недостаточно.
Вы должны проверить это через другие приложения (которые вы используете ежедневно или), которые, как известно, используют DNS-серверы системного сетевого адаптера.
Таким образом, вы должны запустить Firefox и Apple App Store и проверить, можете ли вы видеть и посещать все веб-сайты в обычном режиме, так как эти приложения будут использовать DNS-распознаватель / сервер "по умолчанию" (он же "системный"), который теперь настроен на 127.0.0.1 нами, что мы указали в конфигурации сетевого адаптера.
Steps-W:
Брандмауэр ограничения и помощь:
Используя межсетевой экран с поддержкой приложений + сетевой порт / межсетевой экран управления пакетами, если мы установим правила межсетевого экрана, показанные ниже, тогда всю систему можно будет принудительно использовать, только ОДИН полный DNS-сервер DNS /Resolver 127.0.0.1 и ничего больше:
Общесистемное / глобальное правило брандмауэра № 1: только "несвязанное" приложение может соединяться с любым другим портом 53 / DNS DNS-сервера с использованием соединения TCP или UDP.
Общесистемное / глобальное правило брандмауэра №2: любое приложение / программное обеспечение, которое НЕ является "несвязанным", может использовать только один "несвязанный" DNS-сервер, работающий и прослушивающий 127.0.0.1 порт 53 / DNS с использованием TCP или UDP подключение. (Таким образом, все другие виды трафика порта 53 отбрасываются для несвязанного приложения / программного обеспечения).
Steps-X и Steps-Y, не существует сейчас.
Steps-Z:
Примечание / Отказ от ответственности / Ссылки:
Я следовал (и заимствовал инструкции и комментарии к обсуждению) на различных других веб-сайтах (и скопировал скопированные инструкции и комментарии здесь с небольшими изменениями, сделанными мной). Некоторые ссылки, которые я показывал, в рамках этого абзаца, когда соответствующее содержание было впервые упомянуто, на этой странице статьи / ответа. Итак, для более детального понимания, пожалуйста, ищите в ddg/yahoo/bing/google движках термины / слова, взятые отсюда.
Разные компьютеры могут иметь разные версии, конфигурации и компоненты. Таким образом, вы ДОЛЖНЫ исследовать и использовать свои собственные наиболее образованные знания и суждения, прежде чем использовать любую из этих показанных инструкций на своем компьютере на свой страх и риск.