故障排查与运维监控

01 · Bogus 归因分类与处置

当解析器对某一域名返回SERVFAIL（验证失败），需按"从父到子、从签名到网络"逐层归因。下表归纳高频Bogus成因、可观测特征与处置：

02 · 诊断工具实战（dig / delv）

dig用于"看见原始DNSSEC记录"，delv用于"端到端验证状态"，二者互补：

# 1) 查看某域名是否携带 RRSIG（原始记录）
dig +dnssec +multi example.com A

# 2) 查看父区对该域的 DS（确认链式信任衔接）
dig +dnssec DS example.com

# 3) 用 delv 做端到端验证（关键）
delv @8.8.8.8 example.com
# 成功："; fully validated"
# 失败示例：
#   "broken chain of trust: no valid DS for example.com"
#   "no valid RRSIG resolving 'www.example.com/A'"

# 4) 绕过验证取原始数据（诊断用，CD=1）
dig +cd +dnssec example.com A

以上为说明性命令结构；delv 的精确输出措辞随版本略有差异，但"fully validated / broken chain of trust / no valid RRSIG"等语义一致。生产诊断应在授权网络内进行。

2.1 关键判读点

• AD 标志：dig应答的"flags"含ad表示验证解析器判定Secure（但见第5页"最后一段"缺口）。
• SERVFAIL：验证解析器对Bogus返回的应答码，是"验证失败"而非"域名不存在"。
• RRSIG 字段：检查inception/expiration是否在有效期内、key tag是否指向现用DNSKEY。
• DS 一致性：父区DS的key tag/算法/摘要须与子区KSK的对应值精确匹配。

03 · 端到端诊断流程

04 · 签名新鲜度与轮转监测

DNSSEC最危险的"静默失败"是签名悄悄过期。监测体系应在RRSIG到期前充分告警：

• 签名有效期窗口：监测最近一条RRSIG的expiration，设置"距过期 N 天"分级告警（如剩余30/14/7/1天）。
• 自动重签健康度：确认重签任务/inline-signing持续运行，输出区RRSIG数量与时间戳正常。
• DS一致性巡检：周期比对父区DS与子区KSK，发现漂移立即修复。
• 轮转状态机：对进行中的KSK/ZSK轮转，监控各RFC 7583阶段是否按时推进（第4页）。

05 · 运维监控体系建议

06 · 在线诊断工具（上线前必查）

除命令行外，以下公开工具可对整条链式信任做可视化体检，建议作为上线与变更（轮转、换算法）后的强制检查项：

本节参考来源（第6页）

以下为真实可查的权威来源，支撑本页关于验证失败处理、诊断与监测的事实表述。