DANE-TA（用法 2）与 DANE-EE（用法 3）有什么区别？

TLSA 声明一个“受信任的私有 CA 锚”：凡是由该 CA 签发、且通过 DNSSEC 校验的证书都算数。适合用自有 CA 给多台服务器签发证书的场景。

TLSA 直接声明“本服务此刻应呈现的终端实体证书本身”（或其哈希）。只要握手证书与声明一致即信任，连私有 CA 都不需要。换证书时需同步更新 TLSA 记录。