如何列出所有DNS记录，包括DANE TLSA

Question

我想列出所有/任何DNS记录，包括DANE TLSA。

具有

dig mailbox.org ANY

我得到了所有的记录，包括DNSSEC等，但没有关于DANE。为什么啊？

具有

dig _443._tcp.mailbox.org. ANY

我有丹麦TLSA的记录。

我读过一个问题，有人想查询所有子域，我如何列出所有DNS记录？我知道这只有在区域转移的情况下才能实现。

但是_443_tcp不是真正的子域，是吗？我以为这只是一个SRV记录。那么，我如何查询任何东西，包括DANE TLSA？

Answer 1

您可以在RFC 6698的第3节中找到答案：

TLSA资源记录存储在前缀DNS域名中。前缀按以下方式制备：

1. 假定存在基于TLS的服务的端口号的十进制表示形式以下划线字符（_）作为前缀，成为准备好的域名中最左边的标签。这个数字没有前导零。
2. 假定存在基于TLS的服务的传输的协议名称前缀有下划线字符（_），成为准备好的域名中最左边的第二个标签。为该协议定义的传输名称是tcp、udp和sctp。
3. 将基础域名追加到步骤2的结果中，完成准备好的域名。基本域名是TLS服务器的完全合格的DNS域名[RFC1035]，附加限制是每个标签必须符合[RFC0952]的规则。后一种限制意味着，如果查询是针对国际化域名，则必须使用[RFC5890]中定义的A标签形式。

基本上，由于您可以在不同的端口上使用不同的“基于TLS的服务”（例如DTL），并且该数据不包括在TLSA记录集中，因此命名约定用于查找所需协议/端口组合的正确信息。

Answer 2

命令mailbox.orgANY要求获取名称mailbox.org.的所有记录。

命令dig\u 443_tcp。邮箱组织。任何请求名称的所有记录_tcp。邮箱组织 。

邮箱。组织 与\u 443的名称不同_tcp。邮箱组织 。

请求其中一个的所有记录不会显示另一个的任何记录。如果有帮助的话，您可以将DNS中的（完全限定的）名称视为数据库中的主键（因为实际上正是这些名称）。如果您向数据库询问钥匙FOO的数据，它将不会为您提供钥匙FOOBAR的任何数据（除非损坏严重）。同样的事情也发生在这里。你只要求一件事，却得不到另一件不同事情的答案。