通配符 NSEC 验证在未签名→已签名区域边界上使用原始查询名，而不是使用 CNAME 目标

`www.vice.com` 返回 SERVFAIL，原因是 DNSSEC 为虚假。该域未签名，CNAME 到 `savageplatform.go-vip.net`，该 CNAME 使用了通配符（`*.go-vip.net`）。我怀疑通配符 NSEC 验证失败，因为它检查 NSEC 记录是否覆盖原始查询名（`www.vice.com.`)，而不是 CNAME 目标（`savageplatform.go-vip.net.`)。来自完全不同区域的名字永远不会被 `go-vip.net` 的 NSEC 记录覆盖，因此总是失败。