什么是递归DNS?
递归DNS是DNS解析方法，其中递归解析器代表客户端处理整个查询过程，遍历DNS层次结构从根服务器到权威名称服务器并返回最终答案。递归DNS的工作原理
客户端查询："example.com的IP是多少?"
步骤1：客户端 → 递归解析器
"请解析example.com"
步骤2：解析器 → 根服务器 (.)
"谁处理.com?"
← 响应："尝试a.gtld-servers.net"
步骤3：解析器 → TLD服务器 (.com)
"谁处理example.com?"
← 响应："尝试ns1.example.com在192.0.2.1"
步骤4：解析器 → 权威服务器 (example.com)
"example.com的A记录是什么?"
← 响应："192.0.2.10"
步骤5：解析器 → 客户端
"example.com在192.0.2.10"
(解析器缓存结果以供将来查询)
递归与迭代DNS
| 功能 | 递归 | 迭代 |
|---|---|---|
| 查询工作 | 解析器完成所有工作 | 客户端跟踪转介 |
| 客户端复杂性 | 简单 | 复杂 |
| 常见用途 | 最终用户解析器 | 服务器到服务器 |
| 响应类型 | 最终答案 | 答案或转介 |
DNS解析流
DNS层次结构：
根服务器 (.)
│
┌────────┼────────┐
│ │ │
.com .org .net ← TLD服务器
│
example.com ← 权威服务器
│
┌───┴───┐
www mail ← 主机记录
公共递归解析器
| 提供商 | 主要 | 次要 | 特性 |
|---|---|---|---|
| 8.8.8.8 | 8.8.4.4 | 全球anycast | |
| Cloudflare | 1.1.1.1 | 1.0.0.1 | 注重隐私 |
| Quad9 | 9.9.9.9 | 149.112.112.112 | 安全过滤 |
| OpenDNS | 208.67.222.222 | 208.67.220.220 | 内容过滤 |
缓存行为
| 缓存位置 | TTL控制者 | 典型期限 |
|---|---|---|
| 递归解析器 | 区域管理员 | 小时至天 |
| 浏览器 | HTTP标头 + DNS TTL | 分钟至小时 |
| 操作系统解析器 | DNS TTL | 分钟至小时 |
安全考虑
- 缓存中毒：攻击者向解析器缓存注入虚假记录
- DNS放大：攻击者使用开放解析器进行DDoS
- 隐私：解析器看到来自用户的所有查询
- 缓解：DNSSEC验证、速率限制、加密DNS (DoH/DoT)
查询标志
递归期望 (RD)：客户端请求递归解析
递归可用 (RA)：服务器支持递归
查询：dig example.com @8.8.8.8
;; flags: qr rd ra ← RD由客户端设置，RA由服务器确认
最佳实践
1. 使用可靠的解析器：选择具有良好正常运行时间和性能的解析器
2. 启用DNSSEC验证：防止欺骗攻击
3. 考虑隐私：对敏感查询使用加密DNS (DoH/DoT)
4. 监控延迟：解析器位置影响查询速度
5. 配置故障转移：使用多个解析器地址
递归DNS通过自动处理DNS层次结构遍历的复杂性来简化最终用户的解析。