扫码获取 VIP 码
添加管理员微信获取 VIP 码
域名系统英文全称为Domain Name System，缩写就是考生耳熟能详的DNS。它的本质是一套全球分布式命名数据库，运行在应用层协议体系之中，将人类可读的域名映射到机器可路由的IP地址。在RFC 1034和RFC 1035两份奠基性文档中，IETF明确定义了DNS的三大核心使命：名称到地址的翻译、邮件路由支持的邮件交换记录查询以及分布式数据库的层级委托管理机制。没有DNS，互联网不会消失，但会退化成只能靠记住IP地址才能访问网站的状态，这显然违背了互联网设计的易用性原则。
DNS的设计哲学中有一条铁律，那就是单点故障不可容忍。正因如此，DNS从第一天起就没有设计成集中式数据库，而是采用了树状的层级授权结构。根域名服务器位于这颗倒挂树的顶端，全球共计十三组逻辑根服务器，由ICANN授权给不同机构运营。十三组根服务器之下是顶级域服务器，例如负责点com域名的Verisign服务器和负责点cn域名的CNNIC服务器。再往下一层是权威域名服务器，由每个域名持有者指定的DNS服务商运营。这种层级委托机制使得任何一个节点瘫痪都不会导致整个系统崩溃，这是DNS架构中最核心的鲁棒性设计。
从网工命题角度来看，DNS分层命名空间的结构图是客观题中的高频考点。考生必须能够准确画出根域、顶级域、二级域、子域之间的授权关系，并理解区域传输和区域文件的核心概念。区域是DNS管理的基本单位，一个区域可以包含一个域及其所有子域，也可以将子域委托出去形成独立区域。区域文件保存在权威域名服务器上，包含该区域内所有域名的资源记录。区域传输则是主域名服务器和辅助域名服务器之间同步区域文件的机制，通常使用TCP端口五十三完成全量同步。
域名解析是网工选择题和案例题中反复出现的考察内容，其核心在于递归查询和迭代查询两种模式的区分。当用户在浏览器地址栏输入一个域名并按下回车键时，操作系统首先检查本机的hosts文件是否存在对应的静态映射记录。如果hosts文件中没有匹配项，操作系统会向配置在网卡属性中的本地DNS服务器发起查询请求。这个本地DNS服务器通常由宽带运营商提供，也可以是公司内网自建的DNS服务器或者公共DNS服务商提供的解析服务。
递归查询是指客户端将域名解析任务完全委托给DNS服务器，由服务器承担全部查询责任，最终向客户端返回一个确定的解析结果或者一个错误响应。在递归查询模式下，客户端只需要发出一次请求并等待一次应答，中间所有的辗转查询过程对客户端完全透明。绝大多数终端用户设备发出的DNS请求都是递归查询。
迭代查询与递归查询的本质区别在于服务器承担的责任边界。在迭代查询模式下，DNS服务器收到查询请求后，如果自身缓存中没有答案，不会替客户端去追查，而是直接返回一个推荐响应，告诉客户端这个问题你应该去问另一台服务器。客户端收到推荐后自行向下一台服务器发起查询，如此反复迭代直到获得最终答案。从性能角度对比，递归查询对客户端友好但给服务器带来较大负担，因为服务器需要维护查询状态并逐级追查；迭代查询减轻了服务器负担但增加了客户端的实现复杂度和网络往返次数。
在实际网络环境中，递归查询和迭代查询通常是组合使用的：终端用户对本地DNS服务器发起递归查询，而本地DNS服务器对根服务器、顶级域服务器和权威服务器发起的则是迭代查询。在整个递归解析链条中，根域名服务器扮演的是索引员的角色而非资料库的角色。根服务器并不存储任何具体域名的A记录或者CNAME记录，它只存储顶级域服务器的NS记录和对应的A记录。这种逐级索引、逐级下钻的机制确保了根服务器的数据库体量极小、查询效率极高，同时避免了任何单点承担过多数据存储的风险。
DNS报文由固定十二字节的头部区域和可变长度的问题区域、应答区域、授权区域、附加区域四个部分组成。头部中的标识字段用于匹配请求和响应，标志字段则包含了QR操作类型和响应码等关键控制信息。DNS标准查询操作码为零，反向查询操作码为一。响应码中零代表无差错，一代表格式错误，二代表服务器故障，三代表域名不存在，也就是考生刷题时经常遇到的NXDOMAIN错误的来源。
DNS在传输层的协议选择是一个容易被考生忽略但命题人偏爱的考点。常规DNS查询和响应使用UDP协议，源端口和目标端口均为五十三，单条DNS消息在UDP模式下的最大长度为五百一十二字节。当响应数据超过五百一十二字节限制时，DNS服务器会在响应中设置截断标志位，提示客户端使用TCP协议重新发起查询。此外，区域传输操作由于需要传输完整的区域文件，数据量远超五百一十二字节，因此始终使用TCP协议完成。DNS over TLS使用TCP端口八百五十三，DNS over HTTPS使用HTTPS端口四百四十三，这些新协议正在逐渐进入网工的命题视野。
DNS资源记录是存储在区域文件中的基本信息单元，每一条记录由域名、生存时间、类别、类型和记录数据五个字段组成。在网工大纲范围内，考生需要熟练掌握至少十二种资源记录类型的定义和应用场景。其中考察频率最高的当属A记录和AAAA记录，分别将域名映射到IPv4地址和IPv6地址。A记录的记录数据字段是一个三十二位的IPv4地址，AAAA记录的记录数据字段则是一个一百二十八位的IPv6地址，这个名字本身就暗示了地址长度是A记录的四倍。
NS记录用于标识一个域的权威域名服务器，它的记录数据字段是一个主机名而非IP地址，这意味着NS记录通常需要配合一条对应的A记录来确定该服务器的实际网络地址。SOA记录即起始授权机构记录，是每个区域文件的第一条记录，包含了该域的主域名服务器名称以及序列号、刷新间隔、重试间隔、过期时间和最小TTL五个时间参数。SOA记录中的序列号是区域传输机制的关键，辅助服务器通过比对序列号判断是否需要从主服务器获取更新。
PTR记录执行反向域名解析，将IP地址映射回域名，查询路径沿着in-addr.arpa域树进行。CNAME记录用于创建域名的规范别名，将多个不同的域名指向同一个A记录，在CDN加速和负载均衡场景中应用广泛。需要注意的是，CNAME记录不能与同名的其他任何记录类型共存。MX记录定义了域的邮件交换服务器及其优先级，优先级数值越小的服务器越优先接收邮件。TXT记录最初设计为存放描述性文本，现在广泛用于SPF发件人策略框架和DKIM等邮件安全验证机制。
SRV记录是服务定位记录，将特定网络服务的域名映射到提供该服务的服务器主机名和端口号。SRV记录的名称格式为下划线服务点下划线协议点域名，记录数据包含优先级、权重、端口和目标主机四个字段，在SIP语音通信和LDAP目录服务等场景中被频繁使用。NAPTR记录支持基于正则表达式的域名重写，在ENUM电话号码映射系统中发挥关键作用。CAA记录即证书颁发机构授权记录，用于限制哪些CA可以为指定域名签发SSL证书，是DNS安全体系中一个日益重要的记录类型。
在网工考试中，资源记录的辨析题通常会给出一个场景描述，要求考生选择正确的记录类型。判定的核心依据是场景的功能需求：将域名指向IP地址选A记录或AAAA记录，将一个域名指向另一个域名选CNAME记录，配置邮件服务器选MX记录，标识域的权威服务器选NS记录。近几年真题中还出现了结合SPF和DKIM的邮件安全综合场景，要求考生同时识别TXT记录在SPF配置中的角色，这提示考生对TXT记录的多用途属性需要有清晰的认识。
DNS最初的设计偏重功能实现和分布式鲁棒性，在安全性方面考虑不足，这导致了一系列严重的安全威胁在DNS大规模部署后逐渐暴露。网工的信息安全相关题目中，DNS安全已经成为不可回避的命题热点。
DNS缓存投毒是DNS
本篇完！