DNS

域名(domain)

一个域名是以公用名称结尾的一系列资源记录的集合，代表DNS 域名空间的整个子树，例如 example.com，apps.example.com。最大可能的域是根域名 .，其中代表整个 DNS 名称空间。

TLD(top-level domain，顶级域名)是只有一个组件的域名；gTLDs(gTLDs，通用顶级域名)是最初根据行业分类设计，包括 .com，.net，.edu等；ccTLDs(Country code TLDs，国家代码顶级域名)是根据国家代码设计，例如 .cn，.us，.uk 等。

子域名(subdomain)

一个子域名同样是一个域名，它是另一个域名的子树。子域名通常是在讨论两个域名之间的关系时使用的术语。例如，apps.example.com 是域名 example.com 的一个子域名。

区(zone)

一个区是特定名称服务器直接负责或认证的域名的一个部分。 这可能是一个完整的域名，也可能只是部分或全部域名的一部分子域名委托给其他域名服务器。

Local DNS(Caching/Recursive Name Servers)

通常是被 ISP 或本地网络提供，执行 DNS 解析请求

缓存名称服务器在本地缓存中存储 DNS 查询结果，并且在 TTL 到期后从缓存中删除资源记录。通常设置缓存名称服务器以为本地网络上的客户端执行查询。这降低了 Internet 上的 DNS 流量，从而极大提高了 DNS 名称解析的效率。随着缓存的增加，缓存名称服务器从其本地缓存中回答越来越多的客户端查询，从而提高 DNS 性能。

鉴于 UDP 的无状态性质，DNS 事务很容易被欺骗和篡改。缓存名称服务器过去一直是期望重定向或劫持网络流量的攻击者青睐的目标。这通常通过以下方式来实现：利用 DNS 服务器软件中的漏洞来欺骗 DNS 服务器接受恶意数据并将其填充到其缓存中，也就是通常称为缓存中毒的方法。一旦攻击者成功使 DNS 服务器的缓存中毒，便可利用 DNS 服务器上的缓存名称服务有效破坏众多客户端收到的 DNS 数据，并因此可以重定向或劫持客户端的网络流量。

缓存名称服务器可以极大提高本地网络上的 DNS 性能，同时它们还可以通过执行域名系统安全性扩展 (Domain Name System Security Extensions, DNSSEC) 验证来提高安全性。在缓存名称服务器上启用的 DNSSEC 验证可在将资源记录置于缓存中供客户端使用之前验证资源记录的真实性和完整性，从而防止客户端遭受缓存中毒。

Root Name Servers

13 total root name servers, what are responsible for directing queries toward the appropriate TLD name server.

TLD Name Servers

The TLD name servers will respond again with a redirect, this time informing the computer performing the name lookup with what authoritative name server to contact.

Authoritative Name Servers

Authoritative name servers are responsible for the last two parts of any domain name which is the resolution at which a single organization may be responsible for DNS lookups.

A

主机名和 IPv4 地址的映射

$ host -v -t A google.com
Trying "google.com"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 58605
;; flags: qr rd ra; QUERY: 1, ANSWER: 6, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;google.com.			IN	A

;; ANSWER SECTION:
google.com.		220	IN	A	74.125.24.138
google.com.		220	IN	A	74.125.24.100
google.com.		220	IN	A	74.125.24.101
google.com.		220	IN	A	74.125.24.102
google.com.		220	IN	A	74.125.24.139
google.com.		220	IN	A	74.125.24.113

AAAA(Quad A)

主机名和 IPv6 地址的映射

$ host -v -t AAAA google.com
Trying "google.com"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 44229
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;google.com.			IN	AAAA

;; ANSWER SECTION:
google.com.		145	IN	AAAA	2404:6800:4003:c03::71

CNAME

定义了一个别名，将一个域名重定向到另外一个域名

NAME                    TYPE   VALUE
--------------------------------------------------
bar.example.com.        CNAME  foo.example.com.
foo.example.com.        A      192.0.2.23

注意事项:

• CNAME 链必须要以 A 或 AAAA 结束

• 在 CDN 网络使用 CNAME 链来加快传输的可靠性和速度

• NS 和 MX 类型的资源记录不能够指向 CNAME

PTR

IPv4 地址/IPv6 地址和主机名的映射，用来 DNS 反转解析

$ host -v -t PTR 8.8.8.8
Trying "8.8.8.8.in-addr.arpa"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 64860
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;8.8.8.8.in-addr.arpa.		IN	PTR

;; ANSWER SECTION:
8.8.8.8.in-addr.arpa.	72850	IN	PTR	google-public-dns-a.google.com.

$ host -v -t PTR 2001:4860:4860::8888
Trying "8.8.8.8.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.6.8.4.0.6.8.4.1.0.0.2.ip6.arpa"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 20901
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;8.8.8.8.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.6.8.4.0.6.8.4.1.0.0.2.ip6.arpa. IN PTR

;; ANSWER SECTION:
8.8.8.8.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.0.6.8.4.0.6.8.4.1.0.0.2.ip6.arpa. 86400	IN PTR google-public-dns-a.google.com.

NS

域名和在 DNS zone 中有授权的 DNS 名称服务器的映射

$ host -v -t NS google.com
Trying "google.com"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 44701
;; flags: qr rd ra; QUERY: 1, ANSWER: 4, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;google.com.			IN	NS

;; ANSWER SECTION:
google.com.		24431	IN	NS	ns2.google.com.
google.com.		24431	IN	NS	ns3.google.com.
google.com.		24431	IN	NS	ns1.google.com.
google.com.		24431	IN	NS	ns4.google.com.

SOA

提供了 DNS zone 工作原理等信息。任意一个 DNS zone 中都有一条 SOA 记录，提供的信息包括域名服务器的 Master 点，Salve 点，Slave 如何同步 Master 数据，及 DNS zone 的管理契约等。

$ host -v -t SOA google.com
Trying "google.com"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 541
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;google.com.			IN	SOA

;; ANSWER SECTION:
google.com.		60	IN	SOA	ns1.google.com. dns-admin.google.com. 181070036 900 900 1800 60

MX

域名和邮件交换服务器之间的映射

$ host -v -t MX mail.google.com
Trying "mail.google.com"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 17580
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 1, ADDITIONAL: 0

;; QUESTION SECTION:
;mail.google.com.		IN	MX

;; ANSWER SECTION:
mail.google.com.	455795	IN	CNAME	googlemail.l.google.com.

;; AUTHORITY SECTION:
l.google.com.		43	IN	SOA	ns1.google.com. dns-admin.google.com. 181060731 900 900 1800 60

TXT

名称和任意可读文本之间的映射，通常用于 Sender Policy Framework (SPF)，DomainKeys Identified Mail (DKIM)，Domain-based Message Authentication，Reporting and Conformance (DMARC)

$ host -v -t TXT google.com
Trying "google.com"
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 55568
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0

;; QUESTION SECTION:
;google.com.			IN	TXT

;; ANSWER SECTION:
google.com.		3600	IN	TXT	"v=spf1 include:_spf.google.com ~all"

SRV

用来定位在一个域中支持特定服务的主机。SRV 中提供了一系列提供特殊服务(例如 LDAP)的主机名，包括服务监听的端口号等。SRV 记录中包括 priority，weight 等属性。

1. 安装 unbound

以 root 用户安装 unbound 软件包：

# yum install -y unbound

2. 启动并启用 unbound.service

# systemctl start unbound.service
# systemctl enable unbound.service

3. 配置要侦听的网络接口

默认情况下，unbound 仅侦听 localhost 网络接口。要使 unbound 能够作为缓存名称服务器供远程客户端使用，请使用 /etc/unbound/unbound.conf 的 server 子句中的 interface 选项来指定要侦听的网络接口。值 0.0.0.0 会将 unbound 配置为侦听所有网络接口：

interface: 0.0.0.0

4. 配置客户端访问权限

默认情况下，unbound 会拒绝来自所有客户端的递归查询。在 /etc/unbound/unbound.conf 的 server 子句中，使用 access-control 选项指定允许哪些客户端进行递归查询。

access-control: 172.25.0.0/24 allow

5. 配置转发

在 /etc/unbound/unbound.conf 中，创建 forward-zone 子句以指定要将查询转发到的 DNS 服务器。可以使用 forward-host 选项按主机名指定 DNS 服务器，或者使用 forward-addr 选项按 IP 地址指定。对于缓存名称服务器，通过将 forward-zone 指定为 "." 以转发所有查询。

forward-zone:
  name: "."
  forward-addr: 172.25.254.254

6. 如果需要，可对特定的未签名区域绕过 DNSSEC 验证

默认情况下，启用 unbound 以执行 DNSSEC 验证，以验证是否收到了所有 DNS 响应。/etc/unbound/unbound.conf 的 server 子句中的 domain-insecure 选项可用于指定应跳过 DNSSEC 验证的域。这在处理未签名的内部域时通常是需要的，否则会导致信任链验证失败。

domain-insecure: example.com

7. 如果需要，请安装特定签名区域的信任定位符（不含完整信任链）

由于并非所有 ccTLD 都实现了 DNSSEC，这些 ccTLD 的子域可以由 DNSSEC 签名，但是仍具有损坏的信任链。可以使用 /etc/unbound/unbound.conf 的 server 子句中的 trust-anchor 选项指定区域的信任定位符，从而解决此问题。使用 dig 来获取区域的密钥签名密钥 (KSK) 的 DNSKEY 记录，并输入该记录作为 trust-anchor 选项的值。

$ dig +dnssec DNSKEY example.com

8. 保存

将更改保存到 /etc/unbound/unbound.conf。

9. 语法检查

检查 /etc/unbound/unbound.conf 配置文件是否有语法错误。

# unbound-checkconf

10. 重启

重新启动 unbound.service。

# systemctl restart unbound.service

11. 配置防火墙

配置防火墙以允许 DNS 流量。

# firewall-cmd --permanent --add-service=dns
# firewall-cmd --reload

转储和加载 unbound 缓存

对 DNS 问题进行故障排除时，缓存名称服务器的管理员需要转储缓存数据，如由于陈旧资源记录产生的缓存数据。通过 unbound DNS 服务器，可以通过联合 dump_cache 子命令运行 unbound-control 实用程序来转储缓存。

# unbound-control dump_cache

使用 dump_cache 命令执行 unbound-control 以便以文本格式将缓存转储到 stdout。可以将此输出定向到文件以进行存储，也可以在之后使用 unbound-control load_cache 命令重新加载到缓存中（如果需要）。unbound-control load_cache 从 stdin 中读取以填充缓存。

# unbound-control load_cache < dump.out

清空 unbound 缓存

缓存名称服务器的管理员还需要经常从缓存中清除过期的资源记录。在过期资源记录上的 TTL 到期之前，缓存中的错误和过期资源记录将阻止新的已更正的对应资源记录供客户端使用。管理员可以通过执行带有 flush 子命令的 unbound-control 来强制清除过期记录，而不必等待 TTL 过期。

# unbound-control flush www.example.com

如果需要从 unbound DNS 服务器的缓存中清除属于某个域的所有资源记录，则可以使用 flush_zone 子命令来执行 unbound-control。

# unbound-control flush_zone example.com

使用 dnssec-trigger 更新本地缓存 unbound 配置

除了为本地子网提供缓存名称服务，unbound 作为本地缓存名称服务器也很有用，可提供安全的 DNS 名称解析以供在个别系统上本地使用。对于本地缓存名称服务器设置，/etc/resolv.conf 中的 nameserver 条目将配置为指向 unbound 正在侦听的本地主机。unbound 配置将 DNS 请求转发到上游名称服务器并验证其响应。

对于运行本地缓存名称服务的 DHCP 系统，如果 DHCP 提供的 DNS 服务器发生更改，则 unbound 的配置中指定的上游名称服务器可能过期。可以利用相同名称的软件包提供的 dnssec-trigger 工具来自动更新 unbound 的配置文件中的转发器设置以指向新的 DNS 服务器。dnssec-trigger 工具与 unbound 组合使用对于漫游客户机上的安全 DNS 名称解析很有用。