以前對(duì)DNS(Domain Name System)認(rèn)識(shí)就大概的知道是一個(gè)提供域名解析服務(wù)，作為互聯(lián)網(wǎng)的基礎(chǔ)設(shè)施，任何一個(gè)IT人員都會(huì)或多或少都接觸到DNS，隨著我最近的接觸不斷提高，我發(fā)現(xiàn)DNS還是有很多細(xì)節(jié)技術(shù)需要認(rèn)識(shí)和把握的，本文以一個(gè)中型互聯(lián)網(wǎng)企業(yè)搭建域DNS服務(wù)器架構(gòu)為基礎(chǔ)，從安全的角度看待DNS進(jìn)行描述，都是一些經(jīng)驗(yàn)之談，希望讀者能有所收獲。

DNS協(xié)議

DNS通過開放53端口，通過該端口來監(jiān)聽請(qǐng)求并提供響應(yīng)的服務(wù)，DNS 監(jiān)聽 TCP 和 UDP 都是 53 端口。如果攻擊人員在掃描主機(jī)端口的時(shí)候發(fā)現(xiàn)一臺(tái)主機(jī)開放了53端口，那么就可以判斷這是一臺(tái)DNS服務(wù)器，并且對(duì)外了。對(duì)外開放53端口，也就意味著運(yùn)行外部對(duì)這臺(tái)DNS服務(wù)器進(jìn)行安全掃描，如何進(jìn)行安全掃描，DNS會(huì)有哪些安全問題，后面會(huì)說。

出于性能的考慮，DNS查詢請(qǐng)求用UDP協(xié)議交互并且每個(gè)請(qǐng)求的大小小于512字節(jié)，但是如果返回的請(qǐng)求大小大于512字節(jié)，交互雙方會(huì)協(xié)商使用TCP協(xié)議。

DNS查詢

說完DNS的端口，那就接著說DNS的服務(wù)，DNS提供出來的就是域名解析服務(wù)（將域名轉(zhuǎn)換為IP地址的過程），這個(gè)服務(wù)是怎么實(shí)現(xiàn)域名解析服務(wù)的？我說一下大概查詢過程（如下兩張圖）

假設(shè)你想訪問 sspai.com 這個(gè)網(wǎng)站，那么就如走這個(gè)流程

先問客戶端（本地主機(jī)）DNS服務(wù)器
再問局部（局域網(wǎng)）DNS域服務(wù)器
再去問根域名
最后問頂級(jí)域名服務(wù)器

如果使用類linux系統(tǒng)，可以使用 dig 命令來顯示整個(gè)分級(jí)查詢的過程，

Copy?  ~ dig +trace sspai.com

; <<>> DiG 9.10.6 <<>> +trace sspai.com
;; global options: +cmd


# 第一段列出根域名.的所有NS記錄，即所有根域名服務(wù)器。
.			3600	IN	NS	d.root-servers.net.
.			3600	IN	NS	k.root-servers.net.
.			3600	IN	NS	j.root-servers.net.
.			3600	IN	NS	a.root-servers.net.
.			3600	IN	NS	b.root-servers.net.
.			3600	IN	NS	e.root-servers.net.
.			3600	IN	NS	f.root-servers.net.
.			3600	IN	NS	h.root-servers.net.
.			3600	IN	NS	c.root-servers.net.
.			3600	IN	NS	i.root-servers.net.
.			3600	IN	NS	g.root-servers.net.
.			3600	IN	NS	l.root-servers.net.
.			3600	IN	NS	m.root-servers.net.
;; Received 472 bytes from 10.249.150.1#53(10.249.150.1) in 1 ms


# 接著詢問sspai.com的頂級(jí)域 com.的NS記錄
com.			172800	IN	NS	b.gtld-servers.net.
com.			172800	IN	NS	f.gtld-servers.net.
com.			172800	IN	NS	l.gtld-servers.net.
com.			172800	IN	NS	c.gtld-servers.net.
com.			172800	IN	NS	d.gtld-servers.net.
com.			172800	IN	NS	j.gtld-servers.net.
com.			172800	IN	NS	a.gtld-servers.net.
com.			172800	IN	NS	e.gtld-servers.net.
com.			172800	IN	NS	h.gtld-servers.net.
com.			172800	IN	NS	g.gtld-servers.net.
com.			172800	IN	NS	i.gtld-servers.net.
com.			172800	IN	NS	k.gtld-servers.net.
com.			172800	IN	NS	m.gtld-servers.net.
com.			86400	IN	DS	30909 8 2 E2D3C916F6DEEAC73294E8268FB5885044A833FC5459588F4A9184CF C41A5766
com.			86400	IN	RRSIG	DS 8 1 86400 20200801170000 20200719160000 46594 . nl6GGtQwgNAf1YLcWFFcQyXZ1BE/E5dhOVVBIxTCl0QNtvt9sb+btQIM NOVpc6JovoxxfXvDxotRmCqVe9BJunaZvCqMGySy8JdFTcSo1kdVKXvU nI+b3mad5ROgvP2GaUZelhRIn7++FIQAjSUl40H/jdaQP2fxXDH1PQ4B oBhQwnlDo/rn3AJxhH+P2hx/23fadNwsmh/WY9truU1Gv4cf+uwAPkE9 QFSKDcDF7VgTF1bHN9A9nuURQXIjGQkZAGUHaR9bIrKtgYDa3szrmdOJ GejllYy4VyKoBxwZLkV+W7gt+ODYXxAz42UFk5VOGF560wfCIM11FSYR +XPqPg==
;; Received 1169 bytes from 192.36.148.17#53(i.root-servers.net) in 65 ms


# 詢問sspai.com的次級(jí)域名 NS記錄
sspai.com.		172800	IN	NS	dns17.hichina.com.
sspai.com.		172800	IN	NS	dns18.hichina.com.
CK0POJMG874LJREF7EFN8430QVIT8BSM.com. 86400 IN NSEC3 1 1 0 - CK0Q1GIN43N1ARRC9OSM6QPQR81H5M9A  NS SOA RRSIG DNSKEY NSEC3PARAM
CK0POJMG874LJREF7EFN8430QVIT8BSM.com. 86400 IN RRSIG NSEC3 8 2 86400 20200724044108 20200717033108 24966 com. Tf4OQOpeShS1V8R5W7+YWbLa+iIn/wJf3iDfMsHf4P7TJ1ZBm+1EC4FB bdE2Xcyi9wFIetecgTseEQGLYEKdwUBx6mqGmR3nHMaRDl+4Sm+hBufD UUR+2sGFNM/KMWC5zgm7nLc4wHBSrsq8T36nache8cXBhEWSEvR+MIGw o1fJdUNWhihU/maM05P4wrigqDw5igwIkDZZ1O3Fz5uwnQ==
M34OU778JRD89U2DUUTAAI48T6FEI7CV.com. 86400 IN NSEC3 1 1 0 - M34P2GDRCOK7PL50LT2A785I7P76KSGS  NS DS RRSIG
M34OU778JRD89U2DUUTAAI48T6FEI7CV.com. 86400 IN RRSIG NSEC3 8 2 86400 20200725051418 20200718040418 24966 com. Fis/2uVliOd9QYjFtzH0SVeSU4lAtekdPXOlqU5Zp+IxDXOovSM31wmL YD9zQRdfecDoiurSZi/yZceE2HxgWyWDc1epW7gTQYGOr99s7dxA08dm +gZZIExIIYNpc1MzSqktmLQuOg9yyUQwyf1YWCrQF8d+e3/fdPxFBunf j2psiF3BKzhPt5tlzfx98Gu8pckCBk9pV3xFXCAv5Vx0/A==
;; Received 947 bytes from 192.41.162.30#53(l.gtld-servers.net) in 177 ms


## 查詢到有一條A記錄，通過這個(gè)IP(119.23.141.248) 地址就可以訪問到這個(gè)網(wǎng)站
sspai.com.		600	IN	A	119.23.141.248
;; Received 54 bytes from 140.205.41.28#53(dns18.hichina.com) in 31 ms

而具體實(shí)現(xiàn)這個(gè)查詢過程的技術(shù)有

遞歸查詢
迭代查詢
反向查詢

這里的每種查詢技術(shù)都不簡(jiǎn)單，迭代、遞歸查詢也是實(shí)現(xiàn)DNS服務(wù)的核心，但不是我這篇文章想講述的重點(diǎn)，所以忽略。想了解細(xì)節(jié)的可以自己查詢一下網(wǎng)絡(luò)資料，反向查詢有挺多安全知識(shí)的，我就單獨(dú)寫成一篇文章了：https://www.cnblogs.com/mysticbinary/p/13344930.html

查詢的技術(shù)細(xì)節(jié)可以不用關(guān)心，但是常見的DNS記錄類型還是要關(guān)心的：

CopyA：地址記錄（Address），返回域名指向的IP地址。
AAAA ：A 記錄處理 IPV4，AAAA 處理 IPV6。

SOA ：起始授權(quán)機(jī)構(gòu)記錄，SOA 備注說明了眾多 NS（name server）記錄中誰是主名稱服務(wù)器，不參與功能，但是不能缺少。
NS：域名服務(wù)器記錄（Name Server），返回保存下一級(jí)域名信息的服務(wù)器地址。該記錄只能設(shè)置為域名，不能設(shè)置為IP地址。

MX：郵件記錄（Mail eXchange），返回接收電子郵件的服務(wù)器地址。

CNAME：規(guī)范名稱記錄（Canonical Name），返回另一個(gè)域名，即當(dāng)前查詢的域名是另一個(gè)域名的跳轉(zhuǎn)（類似302跳轉(zhuǎn)）。

PTR：逆向查詢記錄（Pointer Record），只用于從IP地址查詢域名。

答應(yīng)我！下次你在看到A、AAAA、SOA、NS、MX、CNAME、PTR一定要一秒之內(nèi)想出他們是干嘛的。因?yàn)樘匾恕４饝?yīng)我！下次你在看到A、AAAA、SOA、NS、MX、CNAME、PTR一定要一秒之內(nèi)想出他們是干嘛的。因?yàn)樘匾恕４饝?yīng)我！下次你在看到A、AAAA、SOA、NS、MX、CNAME、PTR一定要一秒之內(nèi)想出他們是干嘛的。因?yàn)樘匾恕?/p>

從安全的角度上看，為了保證服務(wù)的安全可靠，至少應(yīng)該有兩條NS記錄，而A記錄和MX記錄也可以有多條，這樣就提供了服務(wù)的冗余性，防止出現(xiàn)單點(diǎn)失敗。

域維護(hù)

因?yàn)镈NS服務(wù)就是一個(gè)類似分布式的服務(wù)，分布式就是分散的，如何保證各個(gè)分散的機(jī)器能及時(shí)的同步消息呢？在主域名服務(wù)器和從域名服務(wù)器之間維護(hù)同一個(gè)zone文件。可以簡(jiǎn)單的理解為，DNS設(shè)定一個(gè)協(xié)議來在主域名服務(wù)器和從域名服務(wù)器之間維護(hù)同一個(gè)zone文件。主要有以下兩種同步的手段有：

全量傳輸 AXFR (full zone transfer)
就是設(shè)定一個(gè)固定時(shí)間（比如2分鐘一次），就同步一次zone文件
增量傳輸 IXFR (incremental zone transfer)
傳遞非常大的zone文件是非常耗資源的（時(shí)間、帶寬等），尤其是只有zone中的一個(gè)記錄改變的時(shí)候，沒有必要傳遞整個(gè)zone文件，增量傳輸是允許主域名服務(wù)器和從域名服務(wù)器之間只傳輸那些改變的記錄。

ZONE文件是DNS上保存域名配置的文件，一個(gè)域名對(duì)應(yīng)一個(gè)ZONE文件。

如果你的企業(yè)局域網(wǎng)只有一臺(tái)DNS服務(wù)器，那么就不需要AXFR、IXFR