在注册器中设置名称服务器vs在名称服务器中设置NS记录

Question

我天真的理解是：

>

你告诉注册器，example.com的名称服务器应该是dns1.example.net和dns2.example.net。

上传一个区域文件到dns1.example.net和dns2.example.net和一些记录。

我没想到2。可能包括NS记录。我以为NS记录是第一步的一部分。

名称服务器中有NS记录的目的是什么？NS记录在1. vs 2.中的使用有何不同？

前一个问题可能有点涉及这个话题，但我想得到更深入的理解。

Answer 1

你触及了一个重要的问题。

实际上，给定域名的NS记录既存在于父区域中（需要它们才能进行适当的委托），也存在于区域本身。

如果这两组数据不同，则您处于一种被称为“跛脚授权”的情况，专家仍不同意哪一部分更权威，即父区域中的记录还是子区域中的记录。

现在，这两套服务器实际上都有不同的用途：

• 父区域中的集合告诉您如何到达子区域
• 子区域中的集合告诉您要查询哪个服务器以获取有关区域内容的数据

想象一下，世界各地都有关于每个域需要哪些名称服务器的信息。然后，您将使用此信息向他们查询区域中的记录，如www。一切都很好。但当然，这种信息在世界范围内是不可用的（这基本上是DNS发明之前的情况），因此需要一种机制来实现这一点。这就是与树结构关联的委托的目的：除根节点外，每个节点都有一个父节点。因此，要使事情正常工作，当您（即递归缓存名称服务器）从根开始时，要在“下面”找到每个后续名称服务器，您需要在“上面”找到信息，因此您可以在父区域中找到名称服务器记录。

当您馈送缓存（通过所有查询）时，您将记录存储为区域中的集合。所以NS记录需要在那里，因为它们与区域相连，它们是区域不可分割的一部分，就像SOA记录一样。

请注意，当您执行完全相同的查询时，如digns示例。com在父名称服务器和此域的名称服务器上，结果应该是相同的（否则这就是开始讨论的跛脚委托情况），但有一个重要的区别。在结果中，有一个标志将不同：当您询问区域的名称服务器时，将设置权威答案的AA，而当您查询父名称服务器时，不会设置AA。前面的比喻现在应该解释这种差异。

同样，对于DNSSEC，你也有类似的情况，因为你需要再次建立一个链，称为信任链。每个区域发布一个DNSKEY记录（实际上不止一个），父区域为区域中的每个DNSKEY记录发布一个DS记录（同样不是100%正确，但现在更简单地这样看），两者都是一致的：的内容DS记录是对DNSKEY记录中的数据加上区域名称的一些散列。