你输入一个网址。毫秒后，一个网站出现了。这就是DNS在幕后运作，将 bestsiteever.com 转换为计算机实际用来查找服务器的数字IP地址66.249.70.11。
没有DNS，你得为每个访问的网站记住一串串数字。更糟的是，当DNS失败时，网站无法加载，邮件退信，应用也无法连接到服务器。
以下是DNS的实际功能，以及它对任何运营网站或排查连接问题的人来说的重要性。
每次访问网站时都会进行DNS查询。你的浏览器需要一个IP地址。它会在询问互联网前查三处。
第一站：你的主机文件。这个纯文本文件可以直接将域名映射到作系统上的IP地址。可以把它看作一本覆盖一切的个人电话簿。
第二站：你的藏宝点。浏览器和互联网服务提供商会临时存储DNS记录。如果你最近访问过某个网站，IP地址很可能就在那儿。不需要再继续寻找。
当本地来源一无所获时，DNS解析就会加速。你的电脑通过专门设计的服务器网络发送DNS查询。
整个过程只需毫秒。除非有东西坏了，否则你不会注意到它发生。然后你只能盯着超时错误，浏览器还在搜索一个永远找不到的IP地址。
当你访问一个网站时，四个DNS服务器协同工作。每个人都有特定的职责。
DNS解析器充当你的中间人。它会接收你的请求，然后搜索其他所有地方。大多数人在使用ISP的解析器时并不知情。有些人为了速度转用谷歌或Cloudflare。
根名称服务器位于DNS层级的顶端。它们不存储IP地址。相反，他们会根据你寻找的是.com、.org还是.net地址，指向正确的顶层域名服务器。
顶级域名服务器管理其扩展内的所有域名。.com服务器知道每个.com域名的权威名称服务器在哪里。.org、.net 以及其他所有扩展也是如此。
权威的名称服务器保存着实际答案。它会存储你要找的具体域名的IP地址。一旦解析器找到该服务器，它会获取IP地址并发送回你的浏览器。
递归DNS服务器负责搜索。权威的DNS服务器能给出最终答案。第一种类型会提问。第二种类型会回答这些问题。
递归解析器在找到一次IP地址后，会将其缓存。下次有人问同一个域时，解析器会直接跳到答案。这种DNS缓存将查询时间从数百毫秒缩短到几乎瞬间。
域名服务器存储特定域名的所有DNS记录。当有人访问你的网站时，这些服务器会响应连接浏览器到托管服务器所需的信息。
每个域名至少需要两个名称服务器以实现冗余。它们看起来就像域名本身：
ns1.example-dnsprovider.com
ns2.example-dnsprovider.com
当你从同一家公司购买主机和域名时，名称服务器会自动设置。要单独买吗？你需要手动更新名称服务器，让域名指向你的主机。
名称服务器查询工具显示当前控制你域名的名称服务器。这些工具查询全球DNS系统并反馈发现情况。用它们来验证更改或排查问题。
不同运营商使用不同的名称服务器地址。你的注册商会提供一套。你的网络主机也提供另一种服务。内容分发网络提供了第三种。每套装备都具备不同的功能和特色。
你只能更改域名注册地的名称服务器。登录你的域名注册商控制面板，找到DNS或名称服务器的设置。
大多数注册商会将这些内容归入域管理或域设置。可以找“名称服务器”、“DNS设置”或“名称服务器管理”等选项。
你会看到两个选项：使用默认名称服务器或输入自定义名称服务器。默认的名称服务器属于你的注册商。自定义名称服务器来自你的托管服务提供商或CDN。
你的托管服务提供商在你注册时会给你名称服务器地址。它们看起来像 ns1.yourhost.com 和 ns2.yourhost.com。完全复制这些。一个打错字就毁了一切。
保存更改后，DNS 传播开始。您的新名称服务器信息会在全球范围内传播到DNS服务器。这需要几分钟到24小时不等。
一旦名称服务器指向你的主机提供商，你就可以通过主机控制面板管理所有DNS设置，而不是注册商。这包括A唱片、MX唱片以及其他所有品牌。
DNS区域是由特定组织或管理员管理的域名空间的一部分。你域名的区域包含所有控制流量如何到达服务器的DNS记录。
DNS设置是实时存在的区域文件中。这些文件包含记录，告诉互联网应将不同类型的流量发送到哪里。邮件会发送到邮件服务器。网页流量流向的是网页服务器。每种记录类型都有特定的用途。
大多数主机提供商都会给你一个DNS区域编辑器。该工具允许你添加、修改或删除DNS记录，而无需触及原始区域文件。你可以选择创建A记录、CNAME记录、MX记录等。
DNS记录的类型决定了每个条目的作用：
记录指向域名的IPv4地址
CNAME记录在域之间创建别名
MX 记录将邮件路由到邮件服务器
TXT记录存储文本信息，如SPF数据
SRV 记录将服务连接到特定端口
DNS区域的变更触发传播。新记录在全球DNS服务器上分散数小时。在此期间，一些游客会看到旧记录，而另一些则会看到新的记录。
A 记录将域名映射到 IPv4 地址。当有人输入你的域名时，这个记录会告诉他们的电脑该联系哪个服务器。
格式很简单。主机名或@符号（代表你的根域名）指向一个IP地址，比如104.19.187.120。就是这样。
大多数域名至少有两个A记录。一个用于根域（example.com），一个用于 www（www.examplex.com）。两者通常指向同一个IP地址。
你可以添加多个A记录用于负载均衡或备份。如果一台服务器故障，DNS会自动将流量路由到另一台。这需要特殊配置，但提供了冗余。
AAAA记录的工作原理和A记录完全一样，但使用IPv6地址而不是IPv4。随着互联网向IPv6过渡，越来越多的站点在A记录之外添加AAAA记录。
TTL（存活时间）控制DNS服务器缓存你A条记录的时间长短。设置3600为一小时，14400为四小时，或86400为一天。值越低，换服务器时传播越快。更高的值可以减少DNS查询负载。
CNAME记录会创建一个别名。它会将一个域名指向另一个域名，而不是直接指向IP地址。
比如你想 blog.yourdomain.com，shop.yourdomain.com 指向 main.yoursuperdomain.com。为每个指向主域名的子域创建一个CNAME。当主IP地址变更时，两个别名都会自动更新。不需要编辑多个A记录。
DNS CNAME记录不能存在于你的根域中。你只能用它们来管理子域名。这是DNS协议的限制。对于你的根域名，建议使用A记录。
当有人访问CNAME别名时，DNS解析器会遵循链条。他们看到CNAME记录，查找目标域名，然后找到该域名的A记录，获取最终IP地址。这增加了一次查询，但管理变得简单。
内容分发网络非常喜欢CNAME记录。他们会给你一个指向他们网络的CNAME。当你需要更新服务器或更换基础设施时，他们会处理。你的CNAME永远不会改变。
MX记录告诉互联网该把你的域名邮件发送到哪里。没有这些，发给 you@yoursuperdomain.com 的消息会退回给发件人。
每个 MX 记录包含两部分：邮件服务器地址和优先级编号。优先级决定了哪个服务器先收到邮件。数字较低者获胜。
把主邮件服务器设置为优先级10。把备份服务器设置为20台、30台，依此类推。如果优先级10的服务器故障，发送方尝试优先级20。如果失败，他们会尝试优先级30。
使用像Google Workspace这样的第三方邮箱？他们提供特定的MX记录供你添加。你会删除主机提供商默认的MX记录，并用谷歌的替换。通常总共五张专辑，每张都有不同的优先级。
MX记录查询工具可以验证你的配置。他们会查询DNS服务器，并显示你的域名设置了哪些邮件服务器。利用这些工具排查邮件发送问题。
错误的MX记录会导致邮件混乱。消息会丢失、退回，或者进入垃圾邮件箱。输入邮件服务器地址时，请仔细核对每个字符。
TXT记录存储关于你域名的文本信息。它们不会影响路由或连接。相反，他们向电子邮件系统、验证服务和安全工具提供数据。
SPF录音在TXT唱片中实时播放。SPF代表发送方政策框架。它列出了哪些服务器可以代表你的域名发送电子邮件。
一个基本的SPF记录如下：
v=spf1 include:_spf.mail.myprovider.com ~all
这会告诉接收服务器检查来电邮件是否与你的授权发件人匹配。末尾的 ~all 指定了对未通过检验的消息处理方式。 意味着软失败（标记为可疑）。-全是表示硬失败（完全拒绝）。~all
域名验证也需要TXT记录。当你将域名连接到第三方服务时，他们会给你一个特定的TXT值来添加。这证明你控制了这个领域。
DNS TXT 查询工具会检查你域名存在哪些文本记录。用它们来验证SPF记录、DKIM签名或验证码。
你可以拥有多个TXT记录。添加一个用于SPF，一个用于域名验证，一个用于DMARC策略。每个记录都有不同的用途，且不会冲突。
SRV记录将特定服务连接到服务器和端口。与仅指向IP地址的A记录不同，SRV记录包含协议信息和端口号。
格式技术性很快。即时通讯的典型SRV记录如下：
_xmpp-client._tcp.example.com
下划线前缀表示服务（xmpp-client）和协议（tcp）。记录随后指定优先级、权重、端口和目标服务器。
优先权的运作方式类似于MX唱片。较低的数字会先试。重量有助于平衡优先级相同的服务器之间的负载。
大多数网站不需要SRV记录。它们常见于VoIP服务、即时通讯服务器和特定应用协议。你的主机提供商默认不会创建这些。
在设置需要SRV记录的服务时，服务提供商会给出你输入的精确数值。仔细复制。一个错误的字符会断开连接。
DNS传播是指DNS变更在全球所有服务器上传播所需的时间。更改A记录或切换名称服务器，你就在等待传播完成。
标准线说是24到48小时。现实？大多数变化在几小时内传播。有些几分钟内就完成了。这取决于TTL设置以及你检查的DNS服务器。
在传播过程中，不同的人会看到不同版本的DNS记录。纽约的人可能会看到你的新IP地址，而东京的人仍然能看到旧的。这会造成暂时的不一致，但无法避免。
DNS传播检查工具，查询全球服务器，并显示哪些服务器更新了。输入你的域名，工具会反馈来自数十个地点的结果。
你的网站在传播过程中保持可访问性。有些访客会访问你的旧服务器。其他人会抵达你的新家。只要内容同时存在于两个地方，就没人会看到停机时间。
在更改前先降低TTL值。切换服务器前每天将TTL设置为300（5分钟）。这缩短了服务器缓存旧记录的时间。传播完成后，将TTL恢复正常。
用多种工具检查DNS传播。使用WhatsMyDNS、DNS检查器或类似服务。他们会实时更新你的变更在全球范围内传播。
DNSSEC为DNS记录添加加密签名。这些签名验证了DNS响应来自合法服务器，且传输过程中未被篡改。
标准DNS没有认证功能。攻击者可以拦截查询并发送假回复，引导你访问恶意网站。DNSSEC通过要求每个响应都必须有有效签名来防止这种情况。
启用DNSSEC后，每个区域都有加密密钥。公钥会被发布在DNS记录中。私钥在名称服务器上保持安全。名称服务器用私钥签署响应。解析器使用公钥验证签名。
并非所有注册商或 DNS 提供商都支持 DNSSEC。在确定是否可用之前，先咨询你的服务提供者。有些公司提供免费服务。还有些会额外收费。有些甚至完全不提供。
启用DNSSEC需要你的注册商和DNS提供商之间的协调。你需要生成密钥，将记录添加到你的区域，并在注册商那里注册数据存储记录。只要一步错，DNS就会完全失效。
DNSSEC 检查工具验证你的配置。他们测试签名是否正确验证，以及信任链是否延伸到根区。
DNS安全随着DNSSEC的提升，但采用率仍然有限。很多主流网站还没用到。这项技术是有效的，但实施复杂性减缓了广泛部署。
DNS性能会影响你网站的速度。慢速的DNS查询会在访客连接服务器前延迟数百毫秒。对不同资源进行多次查询会增加延迟。
邮件投递取决于正确的DNS配置。错误的MX记录意味着退信。缺少防晒记录会让你的邮件进入垃圾邮件。DMARC策略保护你的域名免受冒充，但需要正确的DNS设置。
一旦DNS崩溃，一切都会停止。网站无法加载。邮件失败。应用无法连接API。用户看到“DNS 服务器无响应”错误，就会把责任推给你的网站，而不是他们的解析器。
DNS服务器中断是有发生的。服务提供者会有停机时间。DDoS攻击针对DNS基础设施。拥有多个名称服务器会分散风险。如果一个网站宕机，其他网站则保持可访问。
DNS配置错误导致性能变慢，而非完全失败。页面加载，但时间非常长。出现间歇性连接问题。这些问题让用户感到沮丧，却没有明显的错误信息。
业务连续性需要DNS冗余。如果需要正常运行时间，请使用高级DNS服务。他们提供多重全球接入点、DDoS防护，以及比普通服务提供商更快的解决方案。
你的电脑会在本地缓存DNS记录。打开命令提示符或终端查看存储内容。
在Windows上，输入ipconfig /displaydns并按回车。输出显示你系统中当前缓存的所有DNS记录。
在Mac或Linux上，DNS缓存的位置因系统和版本而异。有些存储在mDNSResponder中。还有些根本不维护持久缓存。
刷新DNS缓存会清除旧记录，并强制电脑重新查询DNS服务器。这修复了因缓存数据过时引起的问题。
Windows：ipconfig /flushdns
麦克：sudo dscacheutil -flushcache; sudo killall -HUP mDNSResponder
Linux：sudo systemd-resolve --flush-caches
在线DNS检查工具提供更详细的信息。它们直接查询权威名称服务器，显示全球存在的记录，而不仅仅是本地缓存的内容。
在 DNSChecker.org 或MXToolbox等网站上检查你域名的DNS记录。输入您的域名并选择记录类型。这些工具查询全球服务器并即时显示结果。
排查DNS问题通常意味着对比你配置的内容和实际发布的内容。使用检查工具验证更改是否正确传播。如果记录与预期不符，问题出在你的DNS区域配置或名称服务器设置上。
Copyright © 2013-2020. All Rights Reserved. 恒讯科技 深圳市恒讯科技有限公司 粤ICP备20052954号 IDC证：B1-20230800.移动站
