• dig解析路径查询
– dig www.baidu.com +trace
– 查询从根域名到指定域名可能经过的所有域名服务器
一、DNS原理
1.DNS(Domain Name System)
• 将网站的域名转换为相应的IP。
• 如何映射
– 每个PC保持一个hosts文件
» www.58.com 10.10.10.10
» 访问是本地hosts查找IP
» hosts文件越来越大
» 没规定命令规则，主机名会冲突
» 维护映射关系代价高
– 应用场景
» 线下测试
• 解决上述问题，1983年Paul Mockapetris提出域名系统
• 分布式数据库系统
• 一种层次的、基于域的命名方案
• 一个完整的请求过程如下:
– 应用程序->DNS服务器发起DNS请求
– DNS服务器返回该域名对应的IP地址
– 应用程序根据返回的IP地址请求对应的服务，获取数据
2. • DNS协议
– Domain_name Time_to_live Class Type Value
» Domain_name: 指出这条记录适用于哪个域名;
» Time_to_live: 用来表明记录的生存周期，也就是说最多可以缓存该记录多长时间(后面会讲到缓存机制);
» Class: 一般总是IN;
» Type: 记录的类型;
» Value: 记录的值，如果是A记录，则value是一个IPv4地址。
• 所有域名记录由DNS服务器集群存储
• 用户计算机不用存储所有的域名->IP映射，hosts文件不大
• 规定了域名的命令规则，保证了主机名字不会重复
• DNS是一个层次的的分布式数据库服务集群
3.– DNS(Domain Name System)解析过程
• 首先查找本地域名服务器(Local Server)【运营商:电信、联通等】
• Local Server没有，查找Root服务器
• Root服务器返回权威服务器地址
• Local Server继续查找权威服务器
• 找到后由Local Server返回给用户
– 和快递原理一样
• 中国->城市->区域->商区->小区->门牌号
• 中国->北京市->朝阳区->酒仙桥->酒仙桥北路甲10号院->58赶集总部
– 域名缓存
• 不变缓存时间可长期
• 可变缓存时间短
• Time to Live字段灵活控制
二、DNS分析工具
– 域名查找对应IP工具(Linux平台)
• dig命令查询A记录
– digwww.baidu.com-tA+short
三、DNS劫持
DNS劫持
– 区域域名服务器负责用户解析请求
– 没有机制保证域名映射是否准确
– “流氓的域名服务器”更改一些域名的解析结果
– 或者区域域名服务器被黑客攻击，恶意修改
– 引导用户一个错误的目标IP地址
– 这就是DNS劫持
– 劫持目标
• 阻止用户访问某些特定网站
• 引导用户到广告页面
– 如何验证域名服务器有没有干坏事
• nslookup命令(linux)
– nslookup www.baidu.com
– whois61.135.169.121
» 看看是不是百度的
防DNS劫持解决方案
– 直接使用IP地址
• 客户端处理负责均衡
• 移动端(Android、iOS)
– 使用HttpDNS
• DNS协议->HTTP协议
• 使用HTTP协议的80端口，取代DNS协议的53端口
• 绕过DNS协议请求，解决运营Local DNS劫持问题
四、高可用DNS设计
– 移动方向
• 选用HttpDNS
• 基于IP地址直连
– 其他方向
• 使用IP地址直连
• 监控
– nslookup
– 不符合预期的IP，及时报警处理
最佳实践
– 三种方式结合
• 尽可能选用HttpDNS
• 基于IP直接方式
• 传统DNS监控，及时报警，商务推动