DNS 的一些基础知识，以及 DNS 转换域名的过程

news2024/11/19 4:35:16

DNS(Domain Name System)，主要作用是将域名转成 IP，本文主要讲解了 DNS 的一些基础知识，以及 DNS 转换域名的过程。

DNS 是什么

dig命令

绝大多数网络通信都是基于 TCP/IP 协议，而 TCP/IP 协议的基础是 IP，所以网络中的计算机进行通信都是基于 IP 而不是我们在浏览器中输入的域名。DNS 全程是 Domain Name System，作用其实非常简单，就是将输入的域名翻译成对应的IP。

使用 dig 命令可以帮助我们知道 DNS 做了什么。

dig命令

查询的参数以及一些统计信息。

想要查询的信息，比如这次是要找 ditu.amap.com 的 A 记录（实际 IP 地址）。

DNS 服务器的答复信息，通过各种 CNAME 记录跳转之后找到最终的 A 记录，203.119.214.249，这个也就是我们想要 DNS 服务帮我们做的：域名-->IP。

一些传输信息，本机使用的 DNS 服务器，查询耗时，消息大小等。

基本概念

DNS 记录类型

域名与 IP 之间的对应关系，称为"记录"（record）。根据使用场景，"记录"可以分成不同的类型（type），前面已经看到了有 A 记录和 CNAME 记录。

常用的记录类型有如下这些：

类型	名称	说明
A	地址记录（Address）	返回域名指向的 IP 地址
CNAME	地址记录（Address）	返回另一个域名，即当前查询的域名是另一个域名的跳转
NS	域名服务器记录（Name Server）	返回保存下一级域名信息的服务器地址。该记录只能设置为域名，不能设置为IP地址，为保证服务的可靠性，NS 一般至少有 2 条
MX	邮件记录（Mail eXchange）	返回接收电子邮件的服务器地址
PTR	逆向查询记录（Pointer Record）	只用于从 IP 地址查询域名

域名的组成

域名的组成结构为：主机名.次级域名.顶级域名.根域名

在第一个图中可以看到每个域名跟我们印象的域名不大相同，在每个域名的后面都会跟一个“.”。这是因为实际上所有的域名后面都有一个“.”，而这个点其实是“.root”的缩写代表的是“根域名”。而根域名对所有的域名都相同，所以在平时的使用中可以省略，而在域名解析中却是至关重要。

根域名的下一级，叫做"顶级域名"（top-level domain，缩写为 TLD），比如 .com、.cn；再下一级叫做"次级域名"（second-level domain，缩写为 SLD），比如 ditu.amap.com 里面的 .amap，这一级域名是用户可以注册的；再下一级是主机名（host），比如 ditu.amap.com 里面的 ditu，又称为"三级域名"，这是用户在自己的域里面为服务器分配的名称，是用户可以任意分配的。

ditu(三级域名).amap(次级域名).com(顶级域名).root(根域名)

查询过程

DNS 服务是根据域名层级，分级进行查询，从根域名开始，依次查询每一级域名的 NS 记录，直到查到最终的 IP 地址。

从"根域名服务器"查到"顶级域名服务器"的 NS 记录和 A 记录（IP 地址）

从"顶级域名服务器"查到"次级域名服务器"的 NS 记录和 A 记录（IP 地址）

从"次级域名服务器"查出"主机名"的 IP 地址

根域名服务器

我们可以看到查找过程是从“根域名服务器”开始，那么从哪里知道“根域名服务器”呢？其实“根域名服务器"的 NS 记录和 IP 地址一般是不会变化的，所以内置在 DNS 服务器里面，世界上一共有十三组根域名服务器，从 a.root-servers.net 一直到 m.root-servers.net

DNS 解析过程

DNS解析

有了以上的知识后，借助 dig 命令 +trace 可以看到 DNS 整体的分级查询过程，其中黄色框中是逐级要获取的域名地址，红色框中是从哪里获取的结果，我们可以看到首先获取的是a-m的根域名服务地址，再逐级获取 .com-->amap.com-->ditu.amap.com，最终我们可以得到一条名为zone.wagbridge.gaode.com. 的 CNAME 记录。

我们可以使用 dig ns amap.com 来查看每级的 NS 记录信息，同样可以印证上图里面 ditu.amap.com 的数据返回地址。

dig ns

Q&A

为什么要有 CNAME

这对于需要在同一个IP地址上运行多个服务的情况来说非常方便。若要同时运行文件传输服务和 Web 服务，则可以把 ftp.example.com 和 www.example.com 都指向 DNS 记录 example.com，而后者则指向 IP 地址的 A 记录。如此一来，若服务器 IP 地址改变，则只需修改 example.com 的 A 记录即可。

DNS 解析中的 DS,RRSIG 是什么

DNS 的原始设计不包含任何安全细节，域名系统安全扩展（DNSSEC）尝试在其中添加安全性，同时仍保持向后兼容性。DNSSEC 旨在保护应用程序，免受伪造或不当操纵的 DNS 数据所造成的影响（例如域名服务器缓存污染的数据）。来自 DNSSEC 保护区的所有答案都经过数字签名。通过检验数字签名，DNS 解析器可以核查信息是否与区域所有者发布的信息相同（未修改和完整），并确系实际负责的 DNS 服务器所提供。

新增三种资源记录类型：RRSIG (Resource Record Signature)、DNSKEY (DNS Public Key)、DS (Delegation Signer)。