域いき名めい系けい统

本页使用了标题或全文手工转换
维基百科ひゃっか，自由じゆう的てき百科ひゃっか全ぜん书
（重定しげさだ向こう自じDomain Name System）
  「DNS」重定しげさだ向むかい至いたる此。关于其他用法ようほう，请见「DNS (消しょう歧义)」。
網あみ際ぎわ網もう路ろ协议套組
應用おうよう層そう
傳つて輸層
網あみ路ろ層そう
連結れんけつ層そう
互联网
Visualization of Internet routing paths
2005年ねんOpte项目互联网一部分ぶぶん的てき路みち由ゆかり路みち径みち可か视化
概がい况
治ち理り
信しん息いき基もと础设施ほどこせ
服ふく务
指南しなん
互联网主题

網あみ域いき名稱めいしょう系統けいとう（英語えいご：Domain Name System，縮寫しゅくしゃ：DNS）是これ互联网的てき一いち项服务。它作为将域いき名めい和わIP地ち址し相互そうご映うつ射い的てき一いち个分布ぶんぷ式しき数すう据すえ库，能のう够使人じん更さら方便ほうべん地ち访问互联网。DNS使用しようTCP和わUDP端はし口こう53[1]。当とう前まえ，对于每ごと一级域名长度的限制是63个字符ふ，域いき名めい总长度ど则不能ふのう超ちょう过253个字符ふ。

开始时，域いき名めい的てき字じ符ふ仅限于ASCII字じ符ふ的てき一いち个子集しゅう。2008年ねん，ICANN通つう过一项决议，允まこと许使用しよう其它语言作さく为互联网顶级域いき名めい的てき字じ符ふ。使用しよう基もと于Punycode码的IDNA系けい统，可か以将Unicode字じ符ふ串くし映うつ射い为有效ゆうこう的てきDNS字じ符ふ集しゅう。因よし此，诸如“XXX.中国ちゅうごく”、“XXX.台灣たいわん”的てき域いき名めい可か以在地ち址し栏直接ちょくせつ输入并访问，而不需要じゅよう安あん装そう插件。但ただし是ぜ，由ゆかり于英语的广泛使用しよう，使用しよう其他语言字じ符ふ作さく为域名めい会かい产生多た种问题，例れい如难以输入いれ、难以在国ざいこく际推广等。

歷史れきし[编辑]

DNS最早もはや于1983年ねん由ゆかり保ほ罗·莫卡派は乔斯（Paul Mockapetris）发明；原始げんし的てき技わざ术规范在882号ごう因いん特とく网标准じゅん草案そうあん（RFC 882）中ちゅう发布。1987年ねん发布的てき第だい1034和わ1035号ごう草案そうあん修正しゅうせい了りょうDNS技わざ术规范，并废除じょ了りょう之の前まえ的てき第だい882和わ883号ごう草案そうあん。在ざい此之后きさき对因特とく网标准じゅん草案そうあん的てき修おさむ改あらため基本きほん上じょう没ぼつ有ゆう涉わたる及到DNS技わざ术规范部分ぶぶん的てき改あらため动。

早期そうき的てき域いき名めい必须以英文句もんく号ごう.结尾。例れい如，当用とうよう户访问維基もと百科ひゃっか的てきHTTP服ふく务时必须在地ざいち址し栏中输入：http://www.wikipedia.org.，这样DNS才能さいのう够进行ぎょう域いき名めい解析かいせき。如今DNS服ふく务器已やめ经可以自动补上じょう结尾的てき句く号ごう。

记录类型[编辑]

主しゅ条目じょうもく：域いき名めい伺服器き記錄きろく類型るいけい列れつ表ひょう

DNS系けい统中，常つね见的资源记录类型有ゆう：

  • 主しゅ机つくえ记录（A记录）：RFC 1035定てい义，A记录是ぜ用よう于名称めいしょう解析かいせき的てき重要じゅうよう记录，它将特定とくてい的てき主しゅ机つくえ名めい映うつ射い到いた对应主ぬし机つくえ的てきIP地ち址し上じょう。
  • 别名记录（CNAME记录）: RFC 1035定てい义，CNAME记录用よう于将某ぼう个别名めい指向しこう到いた某ぼう个A记录上じょう，这样就不需要じゅよう再さい为某个新名字みょうじ另外创建一いち条じょう新しん的てきA记录。
  • IPv6主しゅ机つくえ记录（AAAA记录）: RFC 3596定てい义，与あずかA记录对应，用よう于将特定とくてい的てき主しゅ机つくえ名めい映うつ射い到いた一いち个主机つくえ的てきIPv6地ち址し。
  • 服ふく务位置いち记录（SRV记录）: RFC 2782定てい义，用よう于定义提供ていきょう特定とくてい服ふく务的服ふく务器的てき位置いち，如主机つくえ（hostname），端はし口こう（port number）等とう。
  • 域いき名めい服ふく务器记录（NS记录） ：用もちい来らい指定してい该域名めい由よし哪个DNS服ふく务器来らい进行解析かいせき。 您注册さつ域いき名めい时，总有默だま认的DNS服ふく务器，每まい个注册さつ的てき域いき名めい都と是ぜ由よし一いち个DNS域いき名めい服ふく务器来らい进行解析かいせき的てき，DNS服ふく务器NS记录地ち址し一般以以下的形式出现： ns1.domain.com、ns2.domain.com等とう。 简单的てき说，NS记录是ぜ指定してい由よし哪个DNS服ふく务器解析かいせき你的域いき名めい。
  • NAPTR记录：RFC 3403定てい义，它提供ていきょう了りょう正せい则表达式方式ほうしき去さ映うつ射い一いち个域名めい。NAPTR记录非常ひじょう著名ちょめい的てき一个应用是用于ENUM查询。

传输协议[编辑]

DNS over UDP/TCP/53 （Do53）[编辑]

从 1983 年ねん起源きげん到いた最近さいきん，DNS 主要しゅよう回答かいとう UDP 端はし口こう 53 上うえ的てき查询。此类查询包括ほうかつ从客户端以单个 UDP 数すう据すえ包つつみ发送的てき明文めいぶん请求，响应为 从服务器以单个 UDP 数すう据すえ包つつみ发送的てき明文めいぶん回かい复。 当とう应答的てき长度超ちょう过 512 字じ节并且客户端和服わふく务器都と支持しじ DNS 扩展机つくえ制せい (EDNS) 时，可能かのう会かい使用しよう更さら大だい的てき UDP 数すう据すえ包つつみ。 DNS-over-UDP 的てき使用しよう受到限げん制せい，其中包括ほうかつ缺乏けつぼう传输层加密みつ、身み份验证、可か靠もたれ传递和わ消息しょうそく长度。 1989 年ねん，RFC 1123 为 DNS 查询、回かい复，特とく别是区域くいき传输指定してい了りょう可か选的 TCP 传输。 通つう过长响应的てき分段ぶんだん，TCP 允まこと许更长的响应、可か靠もたれ的てき传递和わ重用じゅうよう客きゃく户端和服わふく务器之の间的长期连接。

DNS over TLS （DoT）[编辑]

主しゅ条目じょうもく：DNS over TLS

加か密みつ DNS 的てき IETF 标准于 2016 年ねん出で现，利用りよう传输层安全あんぜん（TLS）来らい保ほ护整个连接せっ，而不仅仅是ぜ DNS 有效ゆうこう负载。DoT 服ふく务器侦听 TCP 端はし口こう 853。RFC 7858 指定してい可か以支持しじ机つくえ会かい加か密みつ和わ认证加か密みつ，但ただし没ぼっ有ゆう强制きょうせい服ふく务器或ある客きゃく户端认证。

DNS over QUIC （DoQ）[编辑]

互联网工程ほど任にん务组的てき RFC 9250 描述了りょう DNS over QUIC。

DNS over HTTPS （DoH）[编辑]

主しゅ条目じょうもく：DNS over HTTPS

2018 年ねん引入了りょう DNS 查询传输的てき竞争标准，通つう过 HTTPS 隧道すいどう传输 DNS 查询数すう据すえ（进而通どおり过 TLS 传输 HTTP）。DoH 被ひ推广为对网络更さら友好ゆうこう的てき DNS 替がえ代だい方案ほうあん，因いん为与 DNSCrypt 一いち样，它在 TCP 端はし口こう 443 上じょう传输，因いん此看起おこり来らい类似于网络流量りょう[2]，尽つき管かん它们在ざい实践中ちゅう很容易ようい区分くぶん。 DoH 因いん相しょう对于 DoT 降くだ低てい用よう户匿名めい性せい而受到广泛批评[3]。

Oblivious DNS 和わ Oblivious DoH[编辑]

Oblivious DNS （ODNS）[4] 是ぜ由ゆかり普ふ林りん斯顿大学だいがく和わ芝しば加か哥大学がく的てき研究けんきゅう人じん员发明和めいわ实施的てき，作さく为未加か密みつ DNS 的てき扩展，在ざい DoH 本身ほんみ被ひ标准化か和わ广泛部署ぶしょ之の前まえ。Apple 和わ Cloudflare 随ずい后きさき将はた该技术部署しょ在ざい DoH 环境中ちゅう，称しょう为 Oblivious DoH （ODoH）[5]。ODoH 将はた入口いりくち/出口でぐち分ぶん离（在ざい ODNS 中ちゅう发明）与あずか DoH 的てき HTTPS 隧道すいどう和わ TLS 传输层加密みつ结合在ざい一いち个协议中。[6]

DNS over Tor[编辑]

与あずか其他 Internet 协议一いち样，DNS 可か以通过 VPN 和わ隧道すいどう运行。 DNS-over-Tor 自じ 2019 年ねん以来いらい已やめ经变得とく足あし够普遍ふへん以保证其自己じこ经常使用しよう的てき首くび字母じぼ缩略词的一いち种用途ようと。Oblivious DNS 的てき隐私效果こうか可か以通过使用しよう预先存在そんざい的てき入口いりくち和わ出口でぐち节点的てき Tor 网络以及 TLS 提供ていきょう的てき传输层加密みつ来き获得。[7]

DNSCrypt[编辑]

主しゅ条目じょうもく：DNSCrypt

DNSCrypt协议于 2011 年ねん在ざい IETF 标准框かまち架か之の外そと开发，在ざい递归解析かいせき器き的てき下か游ゆう侧引入にゅう了りょう DNS 加か密みつ，其中客きゃく户端使用しよう服ふく务器的てき公おおやけ钥加密みつ查询有效ゆうこう负载，这些公こう钥在 DNS 中ちゅう发布（而不是ぜ依よ赖于第だい三方方证书颁发机构），进而可能かのう受到 DNSSEC 签名的てき保ほ护。[8]DNSCrypt 使用しよう TCP 或ある UDP 端はし口こう 443，与あずか HTTPS 加か密みつ的てき网络流量りゅうりょう相しょう同どう的てき端はし口こう。这不仅引入にゅう了りょう关于查询内容ないよう的てき隐私，而且还引入にゅう了りょう防火ぼうか墙穿越えつ能力のうりょく的てき重要じゅうよう衡量标准。在ざい 2019 年ねん，DNSCrypt 进一いち步ほ扩展以支持しじ“匿名とくめい”模も式しき，类似于提议的“Oblivious DNS”，其中入口いりくち节点接收せっしゅう已やめ使用しよう不同ふどう服ふく务器的てき公おおやけ钥加密みつ的てき查询，并将其转发给该服务器服ふく务器充当じゅうとう出口でぐち节点，执行递归解析かいせき。[9]创建用よう户/查询对的隐私，因いん为入口こう节点不知ふち道どう查询的てき内容ないよう，而出口こう节点不知ふち道どう客きゃく户端的てき身み份。 DNSCrypt 于 2011 年ねん 12 月がつ由ゆかり OpenDNS 首くび次じ在ざい生なま产环境さかい中ちゅう实现。有ゆう几个免めん费和开源软件实现额外集成しゅうせい了りょう ODoH[10]。它适用よう于各种操作そうさ系けい统，包括ほうかつ Unix、Apple iOS、Linux、Android 和わ MS Windows。

技わざ术实现[编辑]

概がい述じゅつ[编辑]

DNS通どおり过允许一个名称服务器把它的一部分名称服务（众所周知しゅうち的てきzone）“委ゆだね托たく”给子服ふく务器而实现了一种层次结构的名称空间。此外，DNS还提供ていきょう了りょう一些额外的信息，例れい如系统别名めい、联系信しん息いき以及哪一个主机正在充当系统组或域的邮件枢纽。

任にん何なん一いち个使用しようIP的てき计算机つくえ网络可か以使用しようDNS来らい实现它自己じこ的てき私有しゆう名称めいしょう系けい统。尽つき管かん如此，当とう提ひっさげ到いた在ざい公共こうきょう的てきInternet DNS系けい统上实现的てき域いき名めい时，术语“域いき名めい”是ぜ最さい常つね使用しよう的てき。

这是基もと于984个全球だま范围的てき“根ね域いき名めい服ふく务器”（分ぶん成なり13组，分ふん别编号ごう为A至いたりM）[11]。从这984个根服ふく务器开始，余よ下か的てきInternet DNS命名めいめい空そら间被委い托たく给其他た的てきDNS服ふく务器，这些服ふく务器提供ていきょうDNS名称めいしょう空そら间中的てき特定とくてい部分ぶぶん。

软件[编辑]

DNS系けい统是由ゆかり各かく式しき各かく样的DNS软件所しょ驱动的てき，例れい如：

国くに际化域いき名めい[编辑]

主しゅ条目じょうもく：Punycode

Punycode是ぜ一いち個こ根據こんきょRFC 3492標準ひょうじゅん而製定じょう的てき編へん碼系統けいとう，主要しゅよう用よう於把域いき名めい從したがえ地方ちほう語ご言げん所しょ採用さいよう的てきUnicode編へん碼轉換てんかん成なり為ため可用かよう於DNS系統的けいとうてき編へん碼。而該編へん碼是根據こんきょ域いき名めい相しょう異字いじ表ひょう （页面存そん档备份，存そん于互联网档案あん馆）（由ゆかりIANA制定せいてい），Punycode可か以防止ぼうし所謂いわゆる的てきIDN欺騙。

域いき名めい解析かいせき[编辑]

举一个例子こ，zh.wikipedia.org 作さく为一个域名就和IP地ち址し198.35.26.96 相あい对应。DNS就像是ぜ一个自动的电话号码簿，我わが们可以直接ちょくせつ拨打198.35.26.96 的てき名字みょうじzh.wikipedia.org 来らい代替だいたい电话号ごう码（IP地ち址し）。DNS在ざい我わが们直接ちょくせつ呼よび叫さけべ网站的てき名字みょうじ以后就会将しょう像ぞうzh.wikipedia.org 一样便于人类使用的名字转化成像198.35.26.96 一样便于机器识别的IP地ち址し。

DNS查询有ゆう两种方式ほうしき：递归和わ迭代。DNS客きゃく户端设置使用しよう的てきDNS服ふく务器一般都是递归服务器，它负责全权处理り客きゃく户端的てきDNS查询请求，直ちょく到いた返かえし回かい最さい终结果はて。而DNS服ふく务器之の间一般采用迭代查询方式。

以查询 zh.wikipedia.org 为例：

  • 客きゃく户端发送查询报文"query zh.wikipedia.org"至いたりDNS服ふく务器，DNS服ふく务器首くび先さき检查自身じしん缓存，如果存在そんざい记录则直接ちょくせつ返かえし回かい结果。
  • 如果记录老化ろうか或ある不ふ存在そんざい，则：
    1. DNS服ふく务器向むこう根ね域いき名めい服ふく务器发送查询报文"query zh.wikipedia.org"，根ね域いき名めい服ふく务器返かえし回かい顶级域いき .org 的てき顶级域いき名めい服ふく务器地ち址し。
    2. DNS服ふく务器向むこう .org 域いき的てき顶级域いき名めい服ふく务器发送查询报文"query zh.wikipedia.org"，得え到いた二に级域 .wikipedia.org 的てき权威域いき名めい服ふく务器地ち址し。
    3. DNS服ふく务器向むこう .wikipedia.org 域いき的てき权威域いき名めい服ふく务器发送查询报文"query zh.wikipedia.org"，得え到いた主しゅ机つくえ zh 的てきA记录，存そん入にゅう自身じしん缓存并返回かい给客户端。

WHOIS（域いき名数めいすう据すえ库查询）[编辑]

一いち个域名めい的てき所有しょゆう者しゃ可か以通过查询WHOIS数すう据すえ库[12]而被找到；对于大だい多数たすう根ね域いき名めい伺服器き，基本きほん的てきWHOIS由ゆかりICANN维护，而WHOIS的てき细节则由控ひかえ制せい那な个域的てき域いき注ちゅう册さつ机つくえ构维护。

对于240多た个国家こっか代だい码顶级域名めい（ccTLDs），通常つうじょう由よし该域名めい权威注ちゅう册さつ机つくえ构负责维护WHOIS。例れい如中国ちゅうごく互联网络信しん息いき中心ちゅうしん（China Internet Network Information Center）负责.CN域いき名めい的てきWHOIS维护，香港ほんこん互聯網もう註冊管理かんり有限ゆうげん公司こうし（Hong Kong Internet Registration Corporation Limited）负责.HK域いき名めい的てきWHOIS维护，台灣たいわん網もう路ろ資し訊中心ちゅうしん（Taiwan Network Information Center）负责.TW域いき名めい的てきWHOIS维护。

其他[编辑]

此外，一些黑客通过伪造DNS服ふく务器将しょう用よう户引向こう错误网站，以达到窃取せっしゅ用よう户隐私信ししん息いき的てき目的もくてき。[13]。

相あい关条目め[编辑]

参考さんこう文献ぶんけん[编辑]

  1. ^ （英文えいぶん）P. Mockapetris. RFC 1035 - DOMAIN NAMES - IMPLEMENTATION AND SPECIFICATION: Page 32. 1987-11 [2018-04-24]. （原始げんし内容ないよう存そん档于2011-02-12）. The Internet supports name server access using TCP [RFC-793] on server port 53 (decimal) as well as datagram access using UDP [RFC-768] on UDP port 53 (decimal). 
  2. ^ Csikor, Levente; Divakaran, Dinil Mon. Privacy of DNS-over-HTTPS: Requiem for a Dream? (PDF). National University of Singapore. February 2021 [2022-10-14]. （原始げんし内容ないよう存そん档 (PDF)于2023-03-15）. We investigate whether DoH traffic is distinguishable from encrypted Web traffic. To this end, we train a machine learning model to classify HTTPS traffic as either Web or DoH. With our DoH identification model in place, we show that an authoritarian ISP can identify ~97.4% of the DoH packets correctly while only misclassifying 1 in 10,000 Web packets. 
  3. ^ Posch, Maya. DNS-over-HTTPS is the Wrong Partial Solution. Hackaday. 21 October 2019 [2022-10-14]. （原始げんし内容ないよう存そん档于2023-03-14）. DoH removes options for network operators (private and corporate) to secure their own network, as one of the architects behind DNS, Paul Vixie, pointed out on Twitter last year. DoH is essentially DNS-over-HTTP-over-TLS, resulting in its own mime Media Type of application/dns-message and significant added complexity. By mixing DoH in with existing protocols, it means that every DNS request and response goes through an HTTPS stack. For embedded applications this is a nightmare scenario, but it is also incompatible with nearly every piece of existing security hardware. When rogue apps like Firefox circumvent the system's DoT-based DNS and use its own DNS resolver over DoH instead, this makes for a highly opaque security situation. That DNS resolving would move into individual applications, as we see happening now, seems like a massive step backwards. 
  4. ^ Schmitt, Paul; Edmundson, Anne; Feamster, Nick. Oblivious DNS: Practical Privacy for DNS Queries (PDF). Privacy Enhancing Technologies. 2019, 2019 (2): 228–244 [2022-10-14]. S2CID 44126163. doi:10.2478/popets-2019-0028. （原始げんし内容ないよう存そん档 (PDF)于2023-03-15）. 
  5. ^ Oblivious DNS Deployed by Cloudflare and Apple. [27 July 2022]. （原始げんし内容ないよう存そん档于2023-03-06）. 
  6. ^ Pauly, Tommy. Oblivious DNS Over HTTPS. IETF. 2 September 2021 [2022-10-14]. （原始げんし内容ないよう存そん档于2022-05-24）. 
  7. ^ Muffett, Alec. "No Port 53, Who Dis?" A Year of DNS over HTTPS over Tor (PDF). Network and Distributed System Security Symposium. February 2021 [2022-10-14]. （原始げんし内容ないよう存そん档 (PDF)于2023-03-06）. DNS-over-HTTPS (DoH) obviates many but not all of the risks, and its transport protocol (i.e. HTTPS) raises concerns of privacy due to (e.g.) 'cookies.' The Tor Network exists to provide TCP circuits with some freedom from tracking, surveillance, and blocking. Thus: In combination with Tor, DoH, and the principle of "Don't Do That, Then" (DDTT) to mitigate request fingerprinting, I describe DNS over HTTPS over Tor (DoHoT). 
  8. ^ Ulevitch, David. DNSCrypt – Critical, fundamental, and about time.. Cisco Umbrella. 6 December 2011. （原始げんし内容ないよう存そん档于1 July 2020） （美国びくに英えい语）. 
  9. ^ Anonymized DNSCrypt specification. GitHub. DNSCrypt. （原始げんし内容ないよう存そん档于25 October 2019）. 
  10. ^ Oblivious DoH · DNSCrypt/dnscrypt-proxy Wiki. GitHub. DNSCrypt project. [28 July 2022]. （原始げんし内容ないよう存そん档于2023-03-06） （英えい语）. 
  11. ^ （英文えいぶん）Root Server Technical Operations Assn. [2014年ねん1月がつ28日にち]. （原始げんし内容ないよう存そん档于2017年ねん8月がつ24日にち）. 
  12. ^ Whois.net. [2018-08-05]. （原始げんし内容ないよう存そん档于2021-01-20）. 
  13. ^ JORDAN ROBERTSON. Use of Rogue DNS Servers on Rise. The Associated Press. [2008-02-18]. （原始げんし内容ないよう存そん档于2008-02-17）. 

外部がいぶ链接[编辑]

规范控ひかえ制せい数すう据すえ库：各地かくち 編輯維基數據鏈接
取と自じ“https://zh.wikipedia.org/w/index.php?title=域いき名めい系けい统&oldid=82569758”