ZONEMD проверяет целую DNS-зону и дополняет проверки отдельных ответов
Фотография конкретного исполнения не приложена.
Получатель zone data может хотеть проверить весь набор, включая сведения, которые не покрываются обычным DNSSEC ответом так же, как authoritative RRsets. Для этого существует отдельный digest mechanism. Его назначение отличается от проверки адреса по одному запросу.
RFC 8976 описывает ZONEMD с serial, scheme, hash algorithm и digest. Serial связывает значение с версией SOA. Проверка требует полного предусмотренного набора данных и правил вычисления, а не простого hash текстового файла с произвольным форматированием.
Сам digest не даёт доверия, если его подлинность не установлена. DNSSEC может аутентифицировать соответствующий ZONEMD RRset в защищённой зоне. При этом ZONEMD не заменяет обычную validation цепочки и ответа для конечного DNS-client.
В приёмке сопоставляют version, полный zone contents и аутентифицированный digest. Проверяют неполный или изменённый набор. Отчёт должен показывать обе стадии: доверие к ожидаемому digest и совпадение данных. Только наличие ZONEMD record не подтверждает целостность полученной зоны и не является доказательством проверки каждого прикладного DNS-ответа.
Основание — Numbered DNSSEC chain, denial, key lifecycle and zone-integrity references with selected explicit updates, разделы RFC8976 ZONEMD purpose; Serial field; verification with DNSSEC. Сохранён текст публичной справочной публикации; конкретная реализация может поддерживать только часть возможностей. Основание — указанные номерные RFC DNSSEC и целостности DNS-зон. Это разбор механизмов, а не полный актуальный профиль algorithms. Реальные signer, resolver, trust anchors, parent policy и ключи не проверялись; DNS-запросы, публикация zones и изменения делегации не выполнялись.