上一篇
DNS系统原理是什么？域名解析过程详解
互联网域名系统（DNS）是互联网的基础设施之一，它充当着“电话簿”的角色，将人类易于记忆的域名（如 www.example.com）转换为计算机用于通信的 IP 地址（如 192.0.2.1），如果没有 DNS，用户每次访问网站都需要记忆一串枯燥的数字，互联网的使用体验将大打折扣。
核心概念与层级结构
DNS 是一个分布式数据库系统，其结构呈树状层级，这种层级设计不仅提高了系统的可扩展性，还实现了管理权的分散。
- 根域（Root Zone）：位于树状结构的顶端，用“.”表示，全球有 13 组根服务器集群，负责指引查询流向顶级域。
- 顶级域（TLD, Top-Level Domain）：根域之下的一级，如 .com、.org、.cn 等，它们由特定的注册局管理。
- 权威域（Authoritative Domain）：即我们通常所说的域名，如 example.com，由域名注册商和持有者管理，存储具体的资源记录。
- 子域（Subdomain）：域名内部的细分，如 mail.example.com 或 www.example.com。
DNS 解析的详细流程
当用户在浏览器中输入一个网址并按下回车时,背后发生了一系列复杂的交互过程，这个过程通常被称为“递归查询”与“迭代查询”的结合。
本地缓存检查
操作系统会检查本地 DNS 缓存（如 Windows 的 DNS Client 服务或 macOS 的 mDNSResponder），如果之前访问过该域名且缓存未过期，直接返回 IP 地址，流程结束。
递归解析器查询
如果本地缓存没有结果,操作系统会将请求发送给配置的 递归解析器（Recursive Resolver），这通常是 ISP 提供的 DNS 服务器，或者是公共 DNS（如 8.8.8.8、1.1.1.1），递归解析器的职责是代表用户去全网查找答案，直到找到为止。
迭代查询过程
递归解析器拿到请求后,开始进行迭代查询，步骤如下：
- 询问根服务器：递归解析器首先向根服务器查询 .com 的顶级域服务器地址，根服务器不存储具体域名，但知道谁管理 .com，于是返回顶级域服务器的 IP。
- 询问顶级域服务器：递归解析器接着向 .com 的顶级域服务器查询 example.com 的权威服务器地址，顶级域服务器返回管理 example.com 的权威 DNS 服务器 IP。
- 询问权威服务器：递归解析器向 example.com 的权威服务器查询 www.example.com 的具体 IP 地址，权威服务器返回最终的 IP 地址（93.184.216.34）。
返回结果与缓存
递归解析器将获得的 IP 地址返回给用户设备，同时自身也会缓存这个结果，以便下次快速响应，用户浏览器拿到 IP 后，便通过 HTTP/HTTPS 协议与目标服务器建立连接。
关键角色与职责对比
为了更清晰地理解 DNS 系统中的不同组件，下表归纳了各角色的主要职责：
| 组件名称 | 主要职责 | 示例/备注 |
|---|---|---|
| 用户设备 | 发起 DNS 查询请求 | 电脑、手机、路由器 |
| 本地缓存 | 存储近期解析过的域名记录，加速访问 | 操作系统缓存、浏览器缓存 |
| 递归解析器 | 接收用户请求，代表用户向全网查询，并缓存结果 | ISP DNS、Cloudflare 1.1.1.1 |
| 根服务器 | 指引查询流向对应的顶级域服务器 | 全球约 13 个逻辑根服务器集群 |
| 顶级域服务器 | 管理特定后缀（如 .com, .cn）的域名，指引向权威服务器 | Verisign (管理 .com) |
| 权威服务器 | 存储特定域名的真实资源记录（A记录、MX记录等） | 域名持有者配置的 DNS 服务器 |
资源记录类型
DNS 不仅仅解析 IP 地址，它还存储多种类型的资源记录（RR），以支持不同的网络服务：
- A 记录：将域名指向一个 IPv4 地址。
- AAAA 记录：将域名指向一个 IPv6 地址。
- CNAME 记录：别名记录，将一个域名指向另一个域名（如 www 指向 example.com）。
- MX 记录：邮件交换记录，指定接收电子邮件的服务器。
- NS 记录：名称服务器记录，指定该域名由哪个 DNS 服务器负责管理。
- TXT 记录：文本记录，常用于验证域名所有权或配置 SPF/DKIM 邮件安全策略。
DNS 的安全挑战与演进
传统的 DNS 协议（UDP 53 端口）设计于互联网早期，缺乏身份验证和加密机制，容易受到缓存投毒、DNS 截持和 分布 攻破，为了解决这些问题，业界推出了多种增强协议：
- DNSSEC（DNS 安全扩展）：通过数字签名验证 DNS 响应的真实性和完整性，防止数据被改动，但不提供加密。
- DoH（DNS over HTTPS）：将 DNS 查询封装在 HTTPS 加密通道中，防止中间人窃听或改动查询内容，提高隐私性。
- DoT（DNS over TLS）：类似于 DoH，但使用专用的 TLS 端口（853）进行加密传输。
相关问题与解答
问题 1：为什么有时候修改了 DNS 解析记录，但本地仍然访问的是旧网站？
解答：
这通常是因为 TTL（Time To Live，生存时间） 机制和 缓存层级 导致的，当权威服务器返回 DNS 记录时，会附带一个 TTL 值，告诉递归解析器和用户设备该记录可以缓存多久，在 TTL 过期之前，即使权威服务器上的记录已更改，缓存中的旧记录依然有效，不同层级的缓存（浏览器、操作系统、路由器、ISP 递归服务器）可能各自持有不同时间的缓存，导致刷新不一致，解决方法通常是等待 TTL 过期，或者手动清除本地 DNS 缓存（如 Windows 使用 ipconfig /flushdns）。
问题 2：DNS 查询中的“递归查询”和“迭代查询”有什么区别？
解答：
两者的主要区别在于责任承担者和返回结果：
- 递归查询：用户向递归解析器发起请求，递归解析器承诺“要么给我最终答案，要么告诉我找不到”，如果解析器本地没有缓存，它必须代替用户去依次查询根、顶级域和权威服务器，直到拿到最终 IP 再返回给用户，用户只需发起一次请求。
- 迭代查询：递归解析器向其他 DNS 服务器（如根服务器、顶级域服务器）发起的请求通常是迭代的，如果该服务器没有直接答案，它不会去帮递归解析器继续查，而是返回“我知道谁有答案”（即下一个服务器的地址），递归解析器拿到这个地址后，再自己去问下一个服务器，这种机制减轻了根服务器和顶级域服务器的负担，提高了整个系统的扩展性。
