【Linux 网络基础】Linux 平台 DNS：基础、原理与应用 - 指南

Linux 平台 DNS：基础、原理与应用

概述

• DNS（Domain Name System）将可读域名映射为 IP 地址与相关服务信息，是互联网的分布式、层级式命名体系。
• Linux 的域名解析由用户态解析器（glibc resolver）驱动，受 nsswitch.conf 策略与 resolv.conf、/etc/hosts、systemd‑resolved、NetworkManager 等组件影响。

基础知识讲解

• 角色与组件：
  • 存根解析器（Stub Resolver）：应用与 OS 内部的轻量解析器，向递归服务器发起查询（Linux glibc resolver）。
  • 递归解析器（Recursive Resolver）：为客户端执行完整递归过程并缓存（如 Unbound、Bind 的 named、公共 DNS）。
  • 权威服务器（Authoritative）：托管某一区域（Zone）的最终答案来源（持有区域数据/zone files）。
  • 转发器（Forwarder）：不做完整递归，将查询转发至上游递归。
• 记录类型（常用）：
  • A/AAAA：IPv4/IPv6 地址
  • CNAME：别名，指向另一个名称
  • NS：区域的权威名称服务器
  • MX：邮件交换服务器
  • TXT：文本（SPF/验证信息等）
  • SRV：服务发现（如 _sip._tcp）
  • NAPTR：更灵活的服务发现（SIP/ENUM）
  • PTR：反向解析（IP→名称）
  • SOA：区域起始（版本、刷新周期等元数据）
  • CAA：证书颁发机构授权
  • HTTPS/SVCB：现代服务绑定与优选参数（ALPN、端口、ECH 等）
• 协议与端口：
  • UDP/53 为主，响应过大或需要可靠传输时回退至 TCP/53。
  • EDNS(0) 扩展允许更大报文（常见 1232/4096 字节上限）与附加功能（如 ECS）。
• Linux 解析路径：
  • 应用调用 getaddrinfo() → glibc resolver → 按 nsswitch.conf 顺序查询（如 hosts: files dns）
  • files 指 /etc/hosts，dns 指解析器（systemd‑resolved 或直接按 resolv.conf 的 nameserver）。
  • resolv.conf：nameserver、search、options 控制解析行为（如 ndots、timeout、attempts、rotate）。
  • systemd‑resolved：集中管理每接口 DNS、搜索域、DNSSEC/DoT 支持；通过 resolvectl 操作。
  • NetworkManager/resolvconf：可生成/管理 resolv.conf，与 DHCP 客户端联动。
• 缓存与 TTL：递归服务器缓存答案，客户端可利用本地 DNS 缓存（如 systemd-resolved、dnsmasq、nscd）。负缓存也会缓存失败答案（NXDOMAIN/NOERROR‑NODATA）。

原理

• 层级解析流程（迭代/递归）：
  • 存根向递归发起查询；递归若无缓存，则从根（.）开始，获取对应 TLD（.com 等）权威，再获取实际权威，最终返回答案。
  • 递归将中间结果与最终记录缓存；后续查询命中缓存可直接返回。
• 迭代 vs 递归：
  • 迭代：服务器返回“下一步应询问谁”的引用（NS/授权信息），由客户端继续查询。
  • 递归：服务器代客户完成全流程，客户端只收最终答案（Linux 常用递归）。
• CNAME 展开：
  • 若查询命中 CNAME，解析器需继续对其目标名称进行查询；可能出现多级别名，逐级展开直至得到 A/AAAA。
• EDNS 与回退：
  • 开启 EDNS 可提高上限与功能；若出现分片丢失或防火墙阻断，解析器回退至 TCP/53。
• DNSSEC（完整性与来源验证）：
  • 通过 DS/DNSKEY/RRSIG 建立从根到权威的信任链；解析器验证签名防止投毒。
  • Linux 可在 systemd-resolved/Unbound 上启用 DNSSEC 验证；应用透明受益。
• QNAME Minimization：
  • 递归在向上层服务器查询时仅泄露必要标签，减少隐私暴露与缓存污染机会。
• 负载均衡与地理调度：
  • 多 A/AAAA 轮询、权威侧加权、基于地理/运营商的智能解析；ECS（EDNS Client Subnet）向权威提供客户端前缀以进行更精准分配。
• 搜索域与 ndots：
  • search 指定后缀列表；ndots 控制短名先尝试附加后缀还是直接当作绝对域名查询。ndots 过大可能导致额外查询与延迟。
• IPv6 与并行：
  • 解析器通常并行查询 A 与 AAAA；应用（浏览器）采用 Happy Eyeballs 减少双栈建连延迟。

应用

• 基础配置（传统/直接 resolv.conf）：
  • 编辑 /etc/resolv.conf（有些系统由管理器生成，需改其上游设置）：
    • nameserver 1.1.1.1
    • nameserver 8.8.8.8
    • search example.internal
    • options edns0 timeout:2 attempts:2 rotate
• 使用 systemd‑resolved（推荐）：
  • 查看状态：resolvectl status
  • 为接口设置 DNS：sudo resolvectl dns eth0 10.0.0.2 10.0.0.3
  • 设置搜索域：sudo resolvectl domain eth0 example.internal
  • 启用 DNSSEC：/etc/systemd/resolved.conf 中 DNSSEC=yes，重启服务。
  • 配置 DoT（加密）：在 resolved.conf 设置受信任上游（如 DNSOverTLS=yes 与服务器 ~ 标记）。
• 本地缓存/转发器：
  • 使用 dnsmasq：轻量级缓存与 DHCP/DNS 集成，适合嵌入式或小型网络。
  • 使用 Unbound：高性能递归解析器，支持 DNSSEC 验证、QNAME 最小化、DoT。
• Split DNS/VPN：
  • 通过 systemd-resolved 为不同域配置不同上游（每接口/每域路由）。
  • 在企业/VPN 环境中，内部域名由内部 DNS 权威或转发器解析，公共域名走外部 DNS。
• 容器与 Kubernetes：
  • 容器的 /etc/resolv.conf 通常由宿主/运行时注入；K8s 使用 CoreDNS 作为集群内递归/权威组合（Service/Pod 名称解析）。
  • 调优 ndots 与搜索域防止应用出现超时（默认 ndots:5 会导致短名产生多次搜索）。
• 构建与测试：
  • 本地权威（Bind 或 NSD）托管测试域；使用 zone 文件定义记录。
  • 使用 SRV/TXT 为服务发现与配置分发（如 _app._tcp.dev.local）。

诊断与工具

• dig：
  • 基本查询：dig A example.com +short
  • 全信息：dig example.com ANY
  • 指定服务器：dig @1.1.1.1 example.com A
  • 追踪权威链：dig +trace example.com
• resolvectl：
  • 查询：resolvectl query example.com
  • 查看链路与 DNS：resolvectl status
• 抓包：tcpdump -i eth0 -vvv -n port 53
• 查看 NSS：cat /etc/nsswitch.conf，确认 hosts: files dns 顺序与策略。

性能与可靠性建议

• 本地缓存：启用 systemd-resolved/dnsmasq 缓存减少延迟与上游负载。
• TTL 策略：权威侧根据业务需要设置合理 TTL；过短增加负载，过长降低变更灵活性。
• EDNS 尺寸：将最大 UDP 负载设置为 1232/1400 以降低分片风险，必要时允许 TCP 回退。
• 并行与重试：递归器合理设置超时与重试；客户端避免过高 attempts 造成级联延迟。
• 安全：启用 DNSSEC 验证与 DoT/DoH（平台/应用层），防止投毒与窃听。

常见问题与排错

• 解析慢或超时：
  • 防火墙阻断 UDP/TCP 53；EDNS 过大导致分片丢失；ndots 过高引起多次无效搜索。
• 配备被覆盖：
  • resolv.conf 被 NetworkManager/systemd‑resolved/resolvconf 管理；应在其上游配置接口 DNS。
• 多接口冲突：
  • 同时有 VPN/Wi‑Fi/以太网时，按每接口配置 DNS 与搜索域，设置优先级（resolvectl 的路由域）。
• IPv6 导致连接延迟：
  • AAAA 命中但实际不可达，应用侧应启用 Happy Eyeballs；服务器端优化地址发布策略。
• 污染/欺骗：
  • 启用可信递归，启用 DNSSEC 与加密（DoT/DoH）。

飞快命令参考

• dig @8.8.8.8 example.com A +short
• dig +trace example.com
• resolvectl query example.com
• resolvectl dns eth0 10.0.0.2 10.0.0.3
• tcpdump -i eth0 -vvv -n port 53

总结

• Linux 的 DNS 解析由 glibc 存根结合 NSS 策略与系统级解析器实现，通过递归/缓存加速并可启用 DNSSEC 与加密以提升安全性。
• 合理配置 resolv.conf/systemd‑resolved、启用本地缓存与分域路由，可在多接口与复杂网络环境下提供稳定、高性能的名称解析。