Настраиваем безопасный DNS: приватность, DNSSEC и DoT на практике

[ifap]

Проще: AD = «этому ответу можно доверять"

Нет, поскольку DNSSEC не означает, что ответ правдивый. Да, вот так: не подменен, не поврежден, цепочка не нарушена, ответ получен от авторитетного сервера и заверен его ЭП, но это не основание считать, что ответ правдивый.

[3Demon]

...можно доверять

это и есть

не подменен, не поврежден, цепочка не нарушена, ответ получен от авторитетного сервера и заверен его ЭП

Про правдивость, и уж тем более истинность речи не шло — только о доверии.

[Dimon41]

Какой сертификат нужен для работы?

[Lshnls]

Сертификат CA (Certificate Authority) в дистрибутивах Linux — это корневой или промежуточный сертификат центра сертификации, которому система доверяет по умолчанию и с помощью которого проверяет подлинность сайтов, серверов и подписей - /etc/ssl/certs/ca-certificates.crt , входит в пакет ca-certificates

[Dystopian]

forward-addr: 146.255.56.99@853#dot2.applied-privacy.net

такого сервера у Applied Privacy нет

[Lshnls]

В этом мире все изменчиво. Не понимайте буквально все, что написано в конфиге - импровизируйте.