maboni82/dnssec-validator

DNSSEC Validator

一款专业级基于Web的DNSSEC验证工具，提供对域名系统安全扩展(DNSSEC)的全面分析。该工具验证从根服务器到域名的完整信任链，类似于Verisign的DNSSEC调试器，但具有现代化架构和增强功能。

🚀 核心功能

• 完整信任链验证：追踪DNSSEC验证过程，从根域(.) → 顶级域 → 域名
• 实时分析：实时DNS查询与详细的分步验证
• 可视化界面：简洁的Web界面，显示带有颜色编码状态的验证结果
• API端点：用于程序化访问的RESTful API
• Docker支持：通过Docker容器轻松部署
• 多算法支持：支持所有DNSSEC算法（RSA、ECDSA、EdDSA）
• 详细报告：显示DNSKEY、DS、RRSIG记录及验证状态

🌐 在线演示

🎉 体验在线版本：[*]

生产环境部署包含：

• ✅ 带SSL/TLS加密的HTTPS
• ✅ 专业域名和托管服务
• ✅ 高可用性和监控
• ✅ 完整的API文档位于 /api/docs/

🐳 Docker快速启动

bash
# 运行容器
docker run -p 8080:8080 maboni82/dnssec-validator:latest

# 在浏览器中打开 http://localhost:8080

🔧 手动安装

前提条件

• Python 3.8+
• pip

安装步骤

bash
git clone https://github.com/BondIT-ApS/dnssec-validator.git
cd dnssec-validator
pip install -r requirements.txt
python app.py

在浏览器中打开 http://localhost:8080

📖 使用方法

Web界面

1. 导航到Web界面
2. 输入域名（例如：bondit.dk）
3. 点击"验证DNSSEC"
4. 查看详细的验证报告

API使用

DNSSEC验证

bash
# 通过API验证域名
curl "http://localhost:8080/api/validate/bondit.dk"

# 响应格式
{
  "domain": "bondit.dk",
  "status": "valid",
  "chain_of_trust": [
    {
      "zone": ".",
      "status": "valid",
      "algorithm": 8,
      "key_tag": 20326
    },
    {
      "zone": "dk.",
      "status": "valid", 
      "algorithm": 13,
      "key_tag": 20109
    },
    {
      "zone": "bondit.dk.",
      "status": "valid",
      "algorithm": 13,
      "key_tag": 48993
    }
  ],
  "records": {
    "dnskey": [...],
    "ds": [...],
    "rrsig": [...]
  }
}

健康检查端点

应用程序提供专用的健康检查端点，用于监控和容器编排：

bash
# 详细健康检查（JSON响应）
curl "http://localhost:8080/health"

# 响应格式
{
  "status": "healthy",
  "timestamp": "2025-08-06T07:23:12Z",
  "version": "1.0.0",
  "checks": {
    "application": "ok",
    "dns_resolver": "ok",
    "memory_usage": "ok"
  },
  "uptime": "2h 15m 32s"
}

# 简单健康检查（纯文本响应）
curl "http://localhost:8080/health/simple"
# 响应："healthy"

健康状态级别：

• healthy：所有系统正常运行（HTTP 200）
• degraded：检测到一些非关键问题（HTTP 200）
• unhealthy：影响功能的关键问题（HTTP 503）

🏗️ 架构

mermaid
graph TB
    subgraph "用户界面"
        WEB["🌐 Web前端<br/>(HTML/CSS/JS)"]
        API["🔌 REST API<br/>(/api/validate)"]
    end
    
    subgraph "应用层"
        FLASK["🐍 Flask应用<br/>(Python)"]
        ENGINE["🔒 DNSSEC引擎<br/>(dnspython)"]
    end
    
    subgraph "外部服务"
        DNS["🌍 DNS服务器<br/>(根域、顶级域、权威域名服务器)"]
        VALIDATION["✅ DNSSEC验证<br/>(信任链)"]
    end
    
    WEB --> FLASK
    API --> FLASK
    FLASK --> ENGINE
    ENGINE --> DNS
    ENGINE --> VALIDATION
    
    style WEB fill:#e1f5fe
    style API fill:#e8f5e8
    style FLASK fill:#fff3e0
    style ENGINE fill:#fce4ec
    style DNS fill:#f3e5f5
    style VALIDATION fill:#e0f2f1

🔍 验证内容

• 根信任锚点：根据IANA根信任锚点进行验证
• DS记录：检查父区域中的委托签名者记录
• DNSKEY记录：验证公钥和算法
• RRSIG记录：验证加密签名
• 链连续性：确保从根到域的不间断链
• 算法支持：验证RSA/SHA-1、RSA/SHA-256、ECDSA P-256、ECDSA P-384、Ed25519

📊 数据库日志与分析

DNSSEC Validator现在包括使用InfluxDB的全面请求日志和分析功能，这是一个优化用于监控和分析的时间序列数据库。

InfluxDB集成

所有DNSSEC验证请求都自动记录到InfluxDB，并附带详细元数据：

• 带时间戳的域名验证请求
• 用于使用分析的IP地址跟踪
• DNSSEC验证状态（有效/无效/错误）
• 请求源跟踪（API vs Web界面）
• HTTP状态码和用户代理信息
• 具有自动清理功能的90天数据保留

配置

数据库日志通过环境变量配置：

bash
# 启用/禁用请求日志
REQUEST_LOGGING_ENABLED=true

# InfluxDB连接设置
INFLUX_URL=http://influxdb:8086
INFLUX_TOKEN=my-super-secret-auth-token
INFLUX_ORG=dnssec-validator
INFLUX_BUCKET=requests

Docker Compose集成

数据库日志与Docker Compose无缝协作：

yaml
services:
  influxdb:
    image: influxdb:2.7-alpine
    ports:
      - "8086:8086"
    environment:
      - DOCKER_INFLUXDB_INIT_MODE=setup
      - DOCKER_INFLUXDB_INIT_ORG=dnssec-validator
      - DOCKER_INFLUXDB_INIT_BUCKET=requests
      - DOCKER_INFLUXDB_INIT_RETENTION=90d
    volumes:
      - influx_data:/var/lib/influxdb2
    healthcheck:
      test: ["CMD", "influx", "ping"]
      interval: 30s
      timeout: 10s
      retries: 3

  dnssec-validator:
    environment:
      - REQUEST_LOGGING_ENABLED=true
      - INFLUX_URL=http://influxdb:8086
      - INFLUX_TOKEN=my-super-secret-auth-token
    depends_on:
      - influxdb

🚀 部署

Docker

bash
# 构建镜像
docker build -t dnssec-validator .

# 运行容器
docker run -p 8080:8080 dnssec-validator

Docker Compose

bash
docker-compose up -d

🛡️ 速率限制

DNSSEC Validator包含全面的速率限制，以确保公平使用并防止滥用。速率限制按IP地址应用，可通过环境变量配置。

默认速率限制

配置

可使用环境变量自定义速率限制：

bash
# 全局速率限制（适用于所有请求）
RATE_LIMIT_GLOBAL_DAY=5000    # 每IP每天请求数
RATE_LIMIT_GLOBAL_HOUR=1000   # 每IP每小时请求数

# API特定速率限制
RATE_LIMIT_API_MINUTE=200     # 每IP每分钟API请求数
RATE_LIMIT_API_HOUR=2000      # 每IP每小时API请求数

# Web界面速率限制
RATE_LIMIT_WEB_MINUTE=50      # 每IP每分钟Web请求数
RATE_LIMIT_WEB_HOUR=500       # 每IP每小时Web请求数

🏥 健康监控

DNSSEC Validator包含全面的健康监控功能，专为容器编排和监控系统设计。

健康检查端点

安全注意事项

• 此工具执行实时DNS查询以验证DNSSEC
• 不存储或记录任何域名数据
• 所有验证在服务器端执行
• 全面的速率限制防止滥用并确保公平使用
• 安全头（CSP、HSTS）防范常见Web漏洞
• CORS配置在生产环境中限制跨域请求

📄 许可证

本项目采用MIT许可证 - 详见LICENSE文件。