DNS 協議運作機制詳解：UDP/TCP 選擇、委派鏈、快取策略與 EDNS0

前言

DNS 協議細節決定了解析效能、可靠性與擴展性。本文深入解析 DNS 传輸協議選擇、委派查詢鏈路、快取機制（含否定快取）、EDNS0 擴展與 BIND 9 實作特性，為進階網路工程師提供協議層面的參考依據。

一、传輸協議與埠號

BIND 9 預設支援 EDNS0，可協商更大 UDP 封包（如 4096 位元組），減少 TCP 回退機率。

二、委派與查詢鏈路

1. 根伺服器為起點

所有授權伺服器皆內建根伺服器提示檔，知曉 13 組根伺服器 IP。

2. 遞迴解析器代為查詢流程

1. 用戶端 → 遞迴解析器（遞迴查詢）。
2. 遞迴解析器 → 根伺服器（迭代查詢），獲得 TLD 授權伺服器 NS 記錄。
3. 遞迴解析器 → TLD 伺服器（迭代），獲得二級域授權伺服器 NS 記錄。
4. 遞迴解析器 → 授權伺服器（迭代），獲得最終答案（A/AAAA/MX 等）。
5. 遞迴解析器將各層 NS 記錄與答案快取，回應用戶端。

3. 實例：marco.comp.fudan.edu 查詢 cs.military.china.com

1. 本地 NS (ns.comp.fudan.edu) 無快取 → 查詢根伺服器
2. 根 → 回應 .com TLD 伺服器
3. 本地 NS → 查詢 .com TLD → 回應 china.com 授權伺服器
4. 本地 NS → 查詢 china.com → 回應 military.china.com 授權伺服器
5. 本地 NS → 查詢 military.china.com（授權）→ 回應 cs A 記錄
6. 本地 NS 快取 .com、china.com、military.china.com NS 列表與 cs 答案

三、快取機制與效能優化

1. 肯定快取

依答案 TTL 快存，TTL 到期前直接回應，不再向上查詢。

2. 否定快取（Negative Caching，RFC 2308 / BIND 9 預設啟用）

快存以下否定答案，減少重複查詢負載：

• NXDOMAIN（域名不存在）：快取 1-3 小時（由 SOA minimum TTL 決定）。
• NODATA（域名存在但無此記錄類型）：同 NXDOMAIN。
• 伺服器無回應/不可達（網路問題）：快取 5 分鐘。

BIND 8.2 為可選功能，BIND 9 強制啟用。

四、EDNS0（Extension Mechanisms for DNS Version 0）

1. 解決痛點

• 傳統 DNS UDP 封包限制 512 位元組，導致 DNSSEC、大量 NS 記錄、IPv6 位址等場景頻繁回退 TCP。
• 缺乏協議版本協商與擴展選項機制。

2. 核心功能

• UDP 封包大小宣告：雙方協商支援的最大 UDP 封包（如 4096 位元組）。
• 選項碼 (OPT) 擴展：支援 DNSSEC、Client Subnet (ECS)、Cookie 等擴展。
• 版本協商：若對方回應 FORMERR，自動回退標準 DNS。

3. BIND 9 實作

授權伺服器與解析器雙向支援 EDNS0，預設宣告 4096 位元組 UDP 緩衝區。

五、總結

掌握 DNS 協議層面的传輸選擇、委派鏈路、快取策略（含否定快取）與 EDNS0 擴展，能有效進行效能調校、排查解析異常、評估 DNSSEC/DoH 部署影響。建議搭配 dig +dnssec、tcpdump -n port 53 實地觀察封包行為，深化理解。