36 張圖詳解 DNS :網絡世界的導航

上帝視角

我們平時在訪問網站時,不使用 IP 地址,而是網站域名。但是抓包發現:交互報文是以 IP 地址進行的。那麼 IP 地址是從哪來的呢?這是因爲 DNS 把網站域名自動轉換爲 IP 地址

報文交互抓包

DNS 出現

TCP/IP 是基於 IP 地址進行通信的,但是 IP 地址不太好記。於是出現了另一種方便記憶的標識符,那就是主機名。爲計算機配置主機名,在進行網絡通信時,直接使用主機名,而不用輸入一大串的 IP 地址。同時,系統通過一個叫 hosts 的文件,實現主機名轉換 IP 地址的功能。**hosts 文件包括主機名和 IP 地址的對應關係。**當需要通過主機名訪問主機時,它就會查看本地的 hosts 文件,從文件中找到相對應的 IP 地址,然後進行報文發送。如果在 hosts 文件中沒找到相關信息,則主機訪問失敗。

hosts 文件是主機的本地文件,優點是_查找響應速度快_。它主要用來存儲一些本地網絡的主機名和 IP 地址的對應信息。這樣,主機在以主機名訪問本地網絡主機時,通過 hosts 文件可以迅速獲得相應的 IP 地址。

hosts 文件

每臺主機的 hosts 文件都需要_單獨手工更新_。隨着網絡規模的不斷擴大、接入計算機的數量不斷增加,_維護難度_越來越大,每臺主機同步更新,幾乎是一件不可能完成的任務。

hosts 維護難

爲了解決 hosts 文件維護困難的問題,出現了 DNS 域名系統,一個可以解決主機名和 IP 地址互相轉換的系統。無論網絡規模變得多麼龐大,都能在一個小範圍內通過 DNS 進行管理。

DNS 域名系統

DNS 介紹

DNS ,全稱 Domain Name System 。採用 client/server 模式,DNS client 發出查詢請求,DNS server 響應請求。DNS client 通過查詢 DNS server 獲得主機的 IP 地址,進而完成後續的 TCP/IP 通信過程。

DNS client/server

當 Windows 系統用戶使用 nslookup hostname/domainname 命令時,DNS 會自動查找註冊了主機名和 IP 地址的數據庫,並返回對應的 IP 地址。

nslookup 命令演示

DNS 域名

先了解什麼是域名,才能理解 DNS 。域名是爲了識別主機名或機構的一種分層的名稱。因爲單獨的一臺域名服務器是不可能知道所有域名信息,所以域名系統是一個分佈式數據庫系統,域名(主機名)到 IP 地址的解析可以由若干個域名服務器共同完成。每一個站點維護自己的信息數據庫,並運行一個服務器程序供互聯網上的客戶端查詢。DNS 提供了客戶端與服務器的通信協議,也提供了服務器之間交換信息的協議。由於是分佈式系統,即使單個服務器出現故障,也不會導致整個系統失效,消除了單點故障。

DNS 域名組成

DNS 域的本質是一種管理範圍的劃分,最大的域是_根域_,向下可以劃分爲_頂級域_、_二級域_、_三級域_、_四級域_等。相對應的域名是_根域名_、_頂級域名_、_二級域名_、_三級域名_等。不同等級的域名使用**點號**分隔,級別最低的域名寫在最左邊,而級別最高的域名寫在最右邊。

DNS 域

舉個栗子:網站域名 www.tsinghua.edu.cn 中,從右到左開始,cn 是頂級域名,代表中國,edu 是二級域名,代表教育機構,tsinghua 是三級域名,表示清華大學,www 則表示三級域名中的主機,並提供了 web 服務。

清華大學域名

除了 www 主機外,常見的主機還有 archsemmail ,域名如下:

清華大學常見域名

每一級的域名都由_英文字母_和_數字_組成,域名不區分大小寫,長度不能超過 63 字節,一個完整的域名不能超過 255 個字節。根域名用 “ . ”(點)表示。目前我們看到的域名例子都是完全合格域名( FQDN ),FQDN 的完整格式是以點結尾的域名。接入互聯網的主機、服務器或其它網絡設備都可以擁有一個唯一的 FQDN 。與 FQDN 對應的,系統中的默認域名是非合格域名,會把當前的區域域名添加到尾部。例如,tsinghua 域內的主機上查找 mail ,本地解析器就會將這個名稱轉換爲 FQDN ,即 mail.tsinghua.edu.cn ,然後解析出 IP 地址。

完全合格域名

DNS 域名空間

域名空間結構像是一棵倒過來的樹,也叫做_樹形結構_。**根域名**就是樹根( root ),用_點號_表示,往下是這棵樹的各層枝葉。根域名的下一層叫**頂級域名**,頂級域名包括三大類:

三大頂級域名

國家頂級域名

頂級域名下面是二級域名。國家頂級域名下注冊的二級域名均由國家自行確定。我國二級域名分爲類別域名行政域名兩大類,類別域名如:.com.edu.gov 等分別代表不同的機構;行政域名如:.bj 表示北京,.sh 表示上海,代表我國各省、自治區及直轄市等。

二級域名

二級域名下面是三級域名四級域名等。命名樹上任何一個節點的域名就是從這個節點到最高層的域名串起來,中間以 “.” 分隔。

域名組成

在域名結構中,節點在所屬域中的主機名標識可以_相同_,但是**_域名必須不同_**。比如:清華大學和新浪公司下都有一臺主機的標識是 mail ,但是兩者的域名卻是不同的,前者爲 **mail.tsinghua.edu.cn** ,而後者爲 **mail.sina.com.cn** 。

主機名相同,域名不同

DNS 域名解析

將_域名轉換爲對應的 IP 地址_的過程叫做域名解析。在域名解析過程中,DNS client 的主機調用_解析器_( Resolver ),向 DNS server 發出請求,DNS server 完成域名解析。

域名解析

域名解析是按照 DNS 分層結構的特點,自頂向下進行的。但是如果每一個域名解析都從根域名服務器開始,那麼根域名服務器有可能無法承載海量的流量。在實際應用中,大多數域名解析都是在本地域名服務器完成。通過合理設置本地域名服務器,由本地域名服務器負責大部分的域名解析請求,提高域名解析效率。

本地域名服務器

DNS 解析器

從應用程序的角度看,訪問 DNS 是通過一個叫解析器( Resolver )的應用程序來完成的。發送一個 TCP 或 UDP 數據包之前,解析器必須將域名(主機名)轉換爲 IP 地址。一個解析器至少要註冊一個域名服務器的 IP 地址。通常,它至少包括本地域名服務器的 IP 地址。

解析器

DNS 域名服務器

DNS 域名空間的層次結構,允許不同的域名服務器管理域名空間的不同部分。域名服務器是指管理域名的主機及軟件,它可以管理所在分層的域。其所管理的分層叫做區域( zone )。一個 zone 是 DNS 域名空間的一棵子樹,它可以單獨管理而不受其它 zone 影響。每層都設有一個域名服務器。

域名服務器

根所設置的 DNS 叫做根域名服務器,它對 DNS 的檢索數據功能起着至關重要的作用。根域名服務器中註冊了頂級域名服務器的 IP 地址。如果想要新增一個一級域名,或者修改已有的頂級域名,就要在根域名服務器中進行新增或變更。

類似的,頂級域名服務器中註冊了二級域名服務器的 IP 地址。如果域名服務器下面沒有其它分層,就可以自由地指定主機名稱。如果想重新設置域名服務器的 IP 地址或修改域名,必須在上一層的域名服務器中進行修改。

域名和域名服務器都需要按照分層進行設置。如果域名服務器出現故障,那麼針對這個域的 DNS 查詢就無法正常工作。因此,爲了提高可用性,至少設置兩臺域名服務器。一旦第一臺域名服務器無法提供查詢時,就會自動轉到第二個甚至第三個域名服務器上進行。

DNS 域名服務器類型

本地域名服務器

根域名服務器

授權域名服務器

主 / 輔助域名服務器

一臺主域名服務器可以有多臺輔助域名服務器,一臺輔助域名服務器也可以是其它區域的主域名服務器。輔助域名服務器中包含區域內主機地址數據的授權信息,通過區域配置_文件副本_的方式存儲。輔助域名服務器也是區域的授權域名服務器,可以完成本區域內域名查詢的授權回答。

輔助域名服務器並不建立數據文件,它獲得區域數據的唯一途徑就是通過_區域傳送_的方式,從主域名服務器上獲得區域數據的最新副本。獲得數據副本的方式有兩種,第一種是輔助域名服務器定期主動獲得主域名服務器的副本,或更新副本中的數據。第二種是主域名服務器在區域數據發生變化時,及時通知輔助域名服務器更新副本中的數據。

DNS 域名完整解析過程

域名解析過程

DNS 客戶端進行域名 www.tsinghua.edu.cn 的解析過程如下:

  1. DNS 客戶端向本地域名服務器發送請求,查詢 www.tsinghua.edu.cn 主機的 IP 地址;

  2. 本地域名服務器查詢數據庫,發現沒有域名爲 www.tsinghua.edu.cn 的主機,於是將請求發送給根域名服務器;

  3. 根域名服務器查詢數據庫,發現沒有這個主機域名記錄,但是根域名服務器知道 cn 域名服務器可以解析這個域名,於是將 cn 域名服務器的 IP 地址返回給本地域名服務器;

  4. 本地域名服務器向 cn 域名服務器查詢 www.tsinghua.edu.cn 主機的 IP 地址;

  5. cn 域名服務器查詢數據庫,也沒有相關記錄,但是知道 edu.cn 域名服務器可以解析這個域名,於是將 edu.cn 域名服務器的 IP 地址返回給本地域名服務器;

  6. 本地域名服務器再向 edu.cn 域名服務器查詢 www.tsinghua.edu.cn 主機 IP 地址;

  7. edu.cn 域名服務器查詢數據庫,也沒有相關記錄,但是知道 tsinghua.edu.cn 域名服務器可以解析這個域名,於是將 tsinghua.edu.cn 的域名服務器 IP 地址返回給本地域名服務器;

  8. 本地域名服務器向 tsinghua.edu.cn 域名服務器查詢 www.tsinghua.edu.cn 主機的 IP 地址;

  9. tsinghua.edu.cn 域名服務器查詢數據庫,發現有主機域名記錄,於是給本地域名服務器返回 www.tsinghua.edu.cn 對應的 IP 地址;

  10. 最後本地域名服務器將 www.tsinghua.edu.cn 的 IP 地址返回給客戶端,整個解析過程完成。

DNS 傳輸層協議

DNS 域名服務器使用的_端口號是 53_ ,並且同時_支持 UDP 和 TCP 協議_。爲什麼同時使用兩種協議呢?

因爲 DNS 響應報文中有一個刪減標誌位,用 TC 表示。當響應報文使用 UDP 封裝,且報文長度大於 512 字節時,那麼服務器只返回前 512 字節,同時 TC 標誌位置位,表示報文進行了刪減。當客戶端收到 TC 置位的響應報文後,將採用 TCP 封裝查詢請求。DNS 服務器返回的響應報文長度大於 512 字節。

TC 標誌位

UDP 報文的_最大長度_是 512 字節,最多可以包含 13 臺根域名服務器數據,因此 ipv4 根域名服務器只能限制在 13 個,且每個服務器使用單個字母命名,也是 IPv4 根服務器是從 A ~ M 命名的原因。

UDP 最長報文

當輔助域名服務器啓動時,將從主域名服務器執行區域傳送。正常運行過程中,輔助域名服務器也會定時向主域名服務器進行查詢,以便了解主域名服務器數據是否發送變化。如果有變化,將執行一次區域傳送。因爲區域傳送的數據多,所以傳送的數據採用 TCP 封裝

TCP 封裝

因此,UDP 用於 client 和 server 的查詢和響應TCP 用於主從 server 之間的傳送

DNS 查詢方式

DNS 域名解析包括兩種查詢( query )方式,一種是_遞歸查詢_,另一種是_迭代查詢_。

遞歸查詢

DNS 服務器如果不能直接響應解析請求,它將繼續請求其它的 DNS 服務器,直到查詢域名解析的結果。查詢的結果可以是域名主機的 IP 地址,或者是域名無法解析。無論哪種結果,DNS 服務器都會將結果返回給客戶端。

舉個栗子:當本地域名服務器接收了客戶端的查詢請求,本地域名服務器將代表客戶端來找答案,而在本地域名服務器執行工作時,客戶端只是等待,直到本地域名服務器將最終查詢結果返回客戶端。

遞歸查詢

迭代查詢

如果 DNS 服務器查不到相應記錄,會向客戶端返回一個可能知道結果的域名服務器 IP 地址,由客戶端繼續向新的服務器發送查詢請求。對域名服務器的迭代查詢只得到一個提示,則繼續查詢。

舉個栗子:本地域名服務器發送請求到根域名服務器,根域名服務器並沒有相應記錄,它只是給本地域名服務器返回一個提示,引導本地域名服務器到另一臺域名服務器進行查詢。

迭代查詢

客戶端在查詢 IP 地址時,向本地域名服務器進行遞歸查詢。如果本地域名服務器的數據庫有相應數據,則直接返回相應數據。如果沒有,則本地域名服務器向根域名服務器進行迭代查詢。從根開始對這棵樹按照順序進行遍歷,直到找到指定的域名服務器,並由這個域名服務器返回相應的數據。客戶端和本地域名服務器會將收到的信息保存在緩存裏,這樣可以減少每次查詢時的性能消耗。

DNS 反向查詢

在 DNS 查詢中,客戶端希望知道域名對應的 IP 地址,這種查詢稱爲正向查詢。大部分的 DNS 查詢都是正向查詢。與正向查詢對應的,是反向查詢它允許 DNS 客戶端通過 IP 地址查找對應的域名。

DNS 反向查詢

爲實現反向查詢,在 DNS 標準中定義了特色域 in-addr.arpa 域,並保留在域名空間中,以便執行反向查詢。爲創建反向域名空間,in-addr.arpa 域中的子域是按照 IP 地址_相反的順序_構造的。

舉個栗子:www.tsinghua.edu.cn 的 IP 地址是 166.111.4.100 ,那麼在 in-addr.arpa 域中對應的節點就是 100.4.111.166

反向查詢

DNS 應用場景

靜態域名解析

域名解析分爲動態域名解析靜態域名解析。在解析域名時,首先採用靜態域名解析,如果靜態解析不成功,再採用動態域名解析。

靜態域名解析是通過靜態域名解析表進行的,手動建立域名和 IP 地址之間的對應關係表,該表的作用類似於 Windows 操作系統下的 hosts 文件,可以將一些常用的域名放入表中。當 DNS client 需要域名所對應的 IP 地址時,即到靜態域名解析表中去查找指定的域名,從而獲得所對應的 IP 地址,提高域名解析的效率。

靜態域名解析

動態域名解析

動態域名解析需要專用的域名服務器( DNS server )運行域名解析服務器程序,提供從域名到 IP 地址的映射關係,負責接收客戶端( DNS client)提出的域名解析請求。

動態域名解析

DNS 代理

在使用了 DNS 代理( DNS proxy )功能的組網中,DNS client 將 DNS 請求報文直接發送給 DNS proxy 。DNS proxy 會先查找本地域名解析表,如果未查詢到對應的解析表項,會將 DNS 請求報文轉發給 DNS Server ,並在收到 DNS server 的應答報文後將其返回給 DNS client ,從而實現域名解析。

DNS 代理

因此,當 DNS server 的地址發生變化時,只需改變 DNS proxy 上的配置,無需逐一改變局域網內每個 DNS client 的配置,從而簡化了網絡管理。


飲水思源:

DNS 與 BIND - Paul Albitz

TCP/IP 詳解 卷 1:協議 - Kevin R.Fall

圖解 TCP/IP - 竹下隆史

路由交換技術 - 杭州華三通信技術有限公司

本文由 Readfog 進行 AMP 轉碼,版權歸原作者所有。
來源https://mp.weixin.qq.com/s/flmHhfnfbh_pzIaKu59AXQ