DNS 伺服器運作原理深度解析：從遞迴查詢到反覆查詢的完整鏈路

DNS (Domain Name System) 是網路世界的「電話簿」，將人類可讀的網域名稱轉換為機器可路由的 IP 位址。本文深入剖析 DNS 查詢的兩種核心模式（遞迴與反覆）、快取機制、根伺服器層級結構，並以 www.test.com.cn 為例逐步追蹤完整解析鏈路，為理解 DNS 攻擊與防禦奠定基礎。

核心角色與查詢模式

關鍵洞見： 實際解析過程中，兩種模式交互共存：Client → Local DNS (遞迴) → Root/TLD/Authoritative DNS (反覆鏈路) → Local DNS (快取) → Client。

快取機制：效能加速器與投毒攻擊面

• 每台 DNS 伺服器維護快取緩存區，儲存近期查詢的「名稱 → IP」對應及 TTL (Time To Live)。
• 後續相同查詢直接命中快取回應，避免跨網路追蹤，大幅降低延遲與根伺服器負載。
• 風險： 快取投毒 透過偽造回應汙染快取，導致用戶導向惡意 IP。

完整解析鏈路實戰追蹤：www.test.com.cn

1. Client 發起：ping www.test.com.cn → 本機 Resolver 封裝遞迴查詢封包發送給指定 Local DNS（如 168.95.1.1）。
2. Local DNS 區域檢查：非本機權威區域 → 檢查快取 → 無命中。
3. 根伺服器 (Root NS)：Local DNS 向根伺服器查詢 .cn 頂級域授權 NS 記錄。根伺服器回應 .cn TLD 伺服器清單（IP + NS 名稱）。
4. .cn TLD 伺服器：Local DNS 向 .cn TLD 查詢 com.cn 二級域授權 NS。回應 com.cn 授權伺服器清單。
5. com.cn 授權伺服器：查詢 test.com.cn 授權 NS。回應 test.com.cn 授權伺服器清單。
6. test.com.cn 授權伺服器 (權威來源)：查詢 www 主機 A 記錄。回應 192.72.80.36（含 TTL）。
7. 回應鏈路回傳：Local DNS 將結果存入快取 → 回應 Client。Client 取得 IP 發起 ICMP Echo。

圖示簡化： Client → Local DNS → [Root → .cn → com.cn → test.com.cn] (反覆追蹤) → Local DNS (快取) → Client

關鍵資源記錄 (RR) 速查

安全啟示：為何理解原理是防禦前提

• 快取投毒：利用反覆查詢過程中轉介回應的可竄改性，注入偽造 A/NS 記錄。防禦：DNSSEC、隨機化埠號與查詢 ID、忽略非請求回應。
• DDoS 放大攻擊：利用開放解析器、大型回應 (ANY 查詢、DNSSEC 簽名) 放大流量攻擊目標。防禦：關閉開放遞迴、回應速率限制 (RRL)、Anycast 分散流量。
• 域名劫持：竄改註冊商/登錄機構層級的 NS/DS 記錄。防禦：註冊商鎖定、DNSSEC 金鑰滾動、監控 WHOIS/DNS 變更。

掌握 DNS 從遞迴查詢發起、反覆追蹤授權鏈路、快取加速回應的完整生命週期，不僅能精準排查解析故障，更是構建 DNS 安全防禦體系（DNSSEC 部署、快取保護、流量監控）的理論基石。