DNS 与命名：从根服务器到本地解析

0. 元信息

• 主题路径：docs/topics/network/subtopics/dns-and-naming/README.md
• 父主题：network
• 主分类：计算机基础
• 辅助分类：安全与可靠性
• 适合对象：会用 dig、curl、能看懂 UDP/TCP 抓包，知道 IP 与端口概念
• 建议周期：3～4 周（每周 6～8 小时，含抓包、命令实验、复盘）
• 前置知识：tcp-ip-stack（UDP/TCP 与端口）、tcp-and-udp；会 ip、ss 基本用法
• 最终目标：能读懂 DNS 报文结构、解释递归与迭代解析、用 dig + tcpdump 排查解析失败、能配置 DoH/DoT 客户端

1. 学习路线

DNS 角色与层级（根 / TLD / 权威 / 递归）
  → 报文格式：Header / Question / Answer / Authority / Additional
  → 资源记录类型：A / AAAA / CNAME / MX / NS / TXT / SOA / PTR / SRV / OPT
  → 解析流程：递归 vs 迭代；glue record；粘合记录
  → 缓存与 TTL：Negative TTL、TTL 失效、CDN 调度
  → 权威与区域传送：AXFR / IXFR；主从同步
  → DNSSEC：DS / DNSKEY / RRSIG / NSEC；信任链
  → 加密 DNS：DoT（853/TCP）/ DoH（443/TCP+HTTPS）/ DoQ（853/UDP）
  → 排障与生态：BIND / Unbound / CoreDNS / dnsmasq / systemd-resolved

每一步都要 dig +trace 一次真实的域名。DNS 不抓包只背字段，永远记不住——看到 wire format 字节流才算入门。

2. 阶段周数分配

3. 九阶段表

4. 第一周任务

Day 7 拆解

步骤 A —— 最小可用（60 分钟）

1. tcpdump -ni any -w /tmp/dns.pcap port 53 or port 853 抓 60 秒；
2. dig +trace example.com；
3. tcpdump -r /tmp/dns.pcap -vv 列出请求与应答；
4. 标注 Header 12 字节中的 QR / RD / RA / ID。

步骤 B —— 补齐边界（30 分钟）

• 同时 dig @1.1.1.1 +tls example.com，对比明文与 DoT 抓包；
• dig MX gmail.com 看 MX 优先级；
• dig TXT gmail.com 看 SPF/DKIM；
• 记录到 notes/week1-day7.md。

进阶：稳定通过后，加 dnsperf 或自定义脚本对同一域名打 100 次请求，看缓存命中。

5. 阶段通用验收

1. 不看 RFC 也能画出 DNS Header 12 字节字段分布；
2. 用自己的话解释「为什么 NS 记录要附 A 记录（glue）」；
3. 画一张图：client → recursive → root → TLD → authoritative 每跳查询的内容；
4. 测试异常：NXDOMAIN（不存在域名）、SERVFAIL（权威宕机）、REFUSED（策略拒绝）；
5. 准备 3 组自定义数据：CNAME 链、MX 优先级、DNSSEC 失败；
6. 记录每次抓包的 BPF 过滤器和命令；
7. 能修改 /etc/hosts 和 /etc/resolv.conf 影响解析路径，而不是只能照抄。

6. 最终验收

• 独立完成：手画 DNS Header 字段、抓一次完整解析链、定位一次「DNS 改了不生效」故障；
• 至少完成 6 个实验（层级查询、报文标注、TTL 对比、AXFR、DNSSEC 验证、DoT/DoH 抓包）；
• 完成 1 个综合排障项目：模拟一个 DNSSEC 验证失败场景，写定位报告；
• 能用 15 分钟讲清楚「递归 vs 迭代」「TTL 与缓存」「DNSSEC 信任链」「DoH 与 DoT 边界」。

7. 综合项目

首选：DNSSEC 验证失败定位（必做：在两台 Linux 上用 unbound 或 bind 配一个故意签名错误的子域，用 “ + tcpdump 定位链断裂点）。

备选：

• 抓包分析 100 条 DNS 报文并分类（递归 / 迭代 / 缓存命中 / NXDOMAIN）；
• 用 coredns 自建权威 + unbound 自建递归 + DoH forwarder 串联；
• 对比 systemd-resolved 与 dnsmasq 在缓存行为上的差异。

综合项目必做要求：

1. 场景描述：网络拓扑、预期行为、实际行为；
2. 工具选择理由：为什么用 unbound 而不是 bind？为什么用 tcpdump 而不是 wireshark GUI？
3. 核心分析：每一跳的现象、判断依据、根因定位；
4. 复现脚本：可重复运行的 unbound.conf / coredns Corefile / dig 命令；
5. 边界测试：换 RR 类型（A / AAAA / MX / TXT）、换方向（正向 / 反向）、换 DO 模式（明文 / DoT / DoH）；
6. 运行说明：环境依赖（bind-utils / unbound / ldns / dnsutils）、复现步骤；
7. README：项目介绍、目录结构、复盘；
8. 复盘记录：用时、难点、收获、下一步。

本主题贡献

本主题沉淀 DNS 层级、DNS 递归 / 迭代解析、TTL 缓存、DNSSEC 信任链与 DoH / DoT 加密扩展的工程化，所有结论用 dig +trace + tcpdump + “ + kdig +tls 三角验证。

职责（3 项）

1. 画 DNS Header 12 字节字段（ID/QR/Opcode/AA/TC/RD/RA/RCODE + QDCOUNT/ANCOUNT/NSCOUNT/ARCOUNT），能解释 NS 记录的 glue A 记录为什么必须有、TLD 委派胶水如何解决「找 NS 又要找 NS 的 NS」死循环；
2. 区分 DNS 递归（client → resolver 代查 + 缓存）与迭代（resolver 自上而下查），用 dig +trace 看每一跳的 server 与 RR，能解释 TTL 不生效与 systemd-resolved 缓存的边界，以及 dig +nocache 强制绕过；
3. 验 DNSSEC 信任链（DS 在父域签、DNSKEY/RRSIG 在子域签），用 delv +rtrace +v4 验证失败定位，能解释 DoH/DoT 与 DNSSEC 的关系（前者加密、后者防篡改，两者正交）。

交付物（4 项）

1. dig +trace example.com 完整路径记录，每跳 server/A/TTL/flags 标注，对照 RFC 1035 §4.1.1；
2. 明文 DNS（UDP 53）+ DoT（TCP 853）+ DoH（TCP 443 + HTTPS）三协议抓包对比（tcpdump -ni any -X 'port 53 or tcp port 853 or tcp port 443'）；
3. DNSSEC 验证失败定位报告（自签一个故意时间窗口错的 zone，用 “ 看 SERVFAIL 根因）；
4. Unbound / CoreDNS 配置 + DoH forwarder 串联的私有 zone（自签 + 签名 + 验证），含每段链路的认证状态说明。

指标（3 项）

1. DNS 解析 P95 ≤ 50 ms（本地 resolver + 缓存命中）；
2. DNS 缓存命中率 ≥ 80%（同一域名短时间内多次查询命中缓存）；
3. DNSSEC 验证失败率 ≤ 0.1%（除故意实验外的 SERVFAIL 比例）。

8. 推荐开源资料（按角色分工）

许可证提示：Wireshark 样例 pcap 是公开教学资源；BIND 是 MPL-2.0；Unbound 是 BSD-3-Clause；CoreDNS 是 Apache-2.0。复制或参考配置前先确认许可证。

源码阅读时机：Unbound 源码放到「阶段 8（排障）」之后再读；RFC 原文从 Day 1 就开始对照，但不要一次通读所有 RFC——按当前阶段挑相关章节。

9. 学习资料汇聚（v0.3 自包含）

本节内容基于公开 RFC、ISC/NLnet Labs 文档与个人整理，标注「由本计划生成」处为计划自写。本节是子主题自包含的最后一节，不再依赖 notes/ 子目录。

9.1 背景与动机

• 1983 年 RFC 882 / 883 定义 DNS，1987 年 RFC 1034 / 1035 取代至今。动机：hosts.txt 撑不住几万节点的互联网。
• 1990 年代末 NS 记录 + glue record 标准化，权威可以独立部署。
• 2004 年 RFC 4033 引入 DNSSEC，应对 Kaminsky 2008 年披露的缓存投毒漏洞（之前的生日攻击理论上可行）。
• 2018 年 RFC 8484 推出 DoH、2016 年 RFC 7858 推出 DoT，把 DNS 流量从明文 UDP 53 加密。
• 一句话总结：DNS 是互联网的「电话簿」也是攻击面最大的协议之一——默认明文、默认信任「第一个回包」，所以 DNSSEC 与 DoH/DoT 不是可选项。

9.2 概念地图

flowchart LR
  Client[应用 / OS resolver] --> Stub[stub resolver]
  Stub -->|UDP 53 / TCP 53 / DoT / DoH| Rec[recursive resolver]
  Rec --> Root[根服务器]
  Rec --> TLD[TLD 权威]
  Rec --> Auth[权威 NS]
  Root --> TLD
  TLD --> Auth
  Auth --> Glue[glue A/AAAA]
  Auth --> SOA[SOA 主从]
  Auth --> AXFR[AXFR/IXFR]
  Rec --> Cache[(缓存 + TTL)]
  Auth --> DNSSEC[RRSIG/DS/DNSKEY]
  Rec --> Verify{验证链}
  Stub --> Hosts[/etc/hosts/]
  Stub --> NSS[nsswitch.conf]

关系说明：

• Stub 在 OS 内（glibc getaddrinforinfo → nsswitch.conf → /etc/hosts → /etc/resolv.conf）；
• Rec 通常是 ISP 或公共 resolver（1.1.1.1、8.8.8.8），负责「代查 + 缓存」；
• Root → TLD → Auth 是迭代查询链，每一跳只问下一层；
• Auth 维护自己的 zone，签发 DNSSEC 记录，主从通过 AXFR/IXFR 同步；
• Verify 在 resolver 端完成 DNSSEC 验证，失败返回 SERVFAIL。

9.3 基础知识讲解

经典论文 / 经典书籍 / 优秀博客 / 核心人物 / 开发方法 五大类，每类 ≥3 条。

经典论文 / RFC（必读）

经典书籍（系统化）

优秀博客（按问题查）

核心人物（知道谁定的规范）

开发方法（动手习惯）

缺失部分：bind 配置文件的 view / rndc 命令细节、unbound 的 local-zone 语义。本计划不重写工具手册；查 man named.conf / man unbound.conf 即可。

9.4 经典问题与经典案例

9.5 学习难点

概念难点

思维难点

工程难点

9.6 技术标准与接口

9.6.1 Entity

9.6.2 Scope

• DNS 协议：定义名字到资源（IP、MX、SRV 等）的映射、报文格式、解析流程；
• DNSSEC：提供来源认证与完整性校验，不提供机密性（仍可见明文）；
• DoH / DoT / DoQ：在 DNS 之上套加密通道，提供机密性与一定抗中间人；
• BIND / Unbound / CoreDNS：分别是「全功能 + 权威 + 递归」「专注验证递归」「云原生插件式」的代表实现；
• **ldns / drill / delv：DNSSEC 验证工具集。

不适用：权威服务发现（SRV 仅是 DNS 一部分；服务网格另说）、应用层路由（用 HTTP Host / SNI）。与传输层关系：DNS 默认 UDP 53，超 512 字节（EDNS 协商）切 TCP 53，DoT/DoH 强 TCP。

9.6.3 Structure

DNS Header（12 字节，必会字段）：

资源记录 5 元组：

+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
|                       NAME                      |
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
|          TYPE         |         CLASS          |
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
|          TTL (4 octets)                         |
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
|          RDLENGTH (2 octets)                    |
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+
|          RDATA (variable)                       |
+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+--+

常用 RR 类型：

9.6.4 Ecosystem

• 权威实现：BIND (named)、NSD、PowerDNS、Knot DNS；
• 递归实现：Unbound、BIND recursion、dnscrypt-proxy、dnsmasq、systemd-resolved；
• 云原生：CoreDNS（Kubernetes 默认）、Caddy（内置 DoH）；
• 公共 resolver：1.1.1.1（Cloudflare）、8.8.8.8（Google）、9.9.9.9（Quad9）；
• 事实标准 vs 标准本身：
  • dig 默认走 UDP，超大响应切 TCP；
  • Windows nslookup 行为差异（始终用 TCP）；
  • systemd-resolved 默认开 DNSSEC + DoT；
  • 浏览器 DoH（Chrome/Firefox）绕过系统 stub，需单独配置。

9.6.5 Depth Tiers

本计划目标：阶段 9 综合排障时达到 L3。

9.6.6 Source

• RFC Editor：所有 DNS / DNSSEC / DoH / DoT 原文（https://www.rfc-editor.org/）；
• IANA DNS Parameters：RR 类型 / Class / RCODE 权威分配（https://www.iana.org/assignments/dns-parameters/）；
• ISC Knowledge Base：BIND 实战文档（https://kb.isc.org/docs）；
• NLnet Labs 文档：Unbound / ldns / drill / Unbound 配置（https://nlnetlabs.nl/documentation/）；
• Cloudflare 1.1.1.1 文档：DoH/DoT 端点（https://developers.cloudflare.com/1.1.1.1/）；
• 引用版本快照日期：2026-07-30。

10. 常见误区

• 把 /etc/hosts 当 DNS：/etc/hosts 是 nsswitch 顺序里的一项，不是 DNS；
• 改完 DNS 立刻 dig：dig 可能命中 resolver 缓存，等 TTL 或 +nocache；
• dig 看到 0.0.0.0 当解析成功：很多 DNS 服务返回 0.0.0.0 作为「屏蔽」信号，要看权威返回；
• 忽略 EDNS(0)：老旧递归会丢带 OPT 的响应，表现是 SERVFAIL；
• 用 AXFR 一定能拉 zone：99% 权威服务器禁止 AXFR，只对白名单 IP 开放；
• 把 CNAME 与 A 写在同一个名：RFC 规定 CNAME 不能与任何 RR 共存（除 DNSSEC 相关 RR）；
• 以为 DoH/DoT 解决一切：DoH/DoT 只加密，不验证来源——仍要 DNSSEC；
• 信任任意递归：公共 resolver 看到你的 query 模式；隐私敏感请用 DoH + ECS 关闭；
• 用 ping 测 DNS 通不通：ping 走 ICMP，与 DNS 解析无关；
• 把 NS 记录指向未注册的子域：注册商要的是「可解析的 NS」，否则 delegation 失败；
• DoH 与 split-horizon 冲突：内网域名在公网 DoH 上解不到，需要保留内网 stub resolver；
• 改完 TTL 立刻测：上一级 resolver 仍可能缓存旧 TTL，没 TTL=0 覆盖不掉。

11. 所有知识点分类（统一规则）

按本仓库统一分类规则（与父主题一致）：

1. 编程语言
2. 数据结构与算法
3. 计算机基础：网络协议、操作系统、组成原理
4. 工程技术
5. Web 与后端
6. 前端与客户端
7. 数据与人工智能
8. 项目与职业能力

本计划归属：计算机基础 主 + 安全与可靠性 辅。

附录：常用命令片段

# 完整解析路径（递归 + 迭代全显示）
dig +trace example.com

# 指定 resolver + 类型
dig @1.1.1.1 AAAA example.com

# 反向解析
dig -x 8.8.8.8

# 显式 DNSSEC 验证 + 显示签名
dig @1.1.1.1 +dnssec example.com

# 完整 DNSSEC 信任链验证
delv +rtrace +v4 example.com

# 区域传送（多数域禁止，仅作测试）
dig @ns1.example.com AXFR example.com

# DoT 抓包（ldns 工具集）
kdig @1.1.1.1 +tls example.com

# DoH 查询
curl --doh-url https://1.1.1.1/dns-query https://example.com

# 抓明文 + 加密 DNS
tcpdump -ni any -w /tmp/dns.pcap 'port 53 or tcp port 853 or tcp port 443'