2017 最新 DNS 技术解析
一、DNS 基础概念回顾
| 概念 | 解释 |
| DNS（Domain Name System） | 域名系统，是一种用于将域名转换为对应 IP 地址的网络服务，它类似于互联网的电话簿，用户通过输入易于记忆的域名（如 www.example.com）来访问网站，而 DNS 负责将这个域名解析为计算机能够识别的 IP 地址（如 192.168.1.1），从而使用户能够顺利访问目标网站资源。 |
| 域名结构 | 通常由多个部分组成，从右到左依次为顶级域名（如 .com、.org、.net 等）、二级域名（如 example.com 中的“example”）、子域名（如有的网站可能有 blog.example.com 中的“blog”）等，这种层次结构方便了域名的组织和管理，也使得域名具有更好的可扩展性和灵活性。 |
| DNS 服务器类型 | 主要有递归 DNS 服务器和非递归 DNS 服务器，递归 DNS 服务器为客户机完全解析域名（直到获得最终的 IP 地址）的过程，如果本地缓存中没有所需的映射信息，它会代表客户端向其他 DNS 服务器进行查询，直到得到答案，然后将结果返回给客户端，非递归 DNS 服务器则只负责处理部分解析过程，如果本地无法直接回答一个查询，它将代表客户端向其他 DNS 服务器转发查询，直到得到答案，然后原封不动地将结果返回给客户端。 |
二、2017 年 DNS 技术新发展
（一）DNSSEC（Domain Name System Security Extensions）的强化应用
背景与意义：随着网络安全威胁日益复杂，DNS 欺骗攻击（如缓存投毒攻击）频繁发生，严重威胁着互联网用户的信息和数据安全，DNSSEC 作为一种保障 DNS 安全性的技术标准，通过数字签名机制确保 DNS 数据的完整性和真实性，有效防止了域名解析过程中的数据篡改和欺骗行为。
工作原理：DNSSEC 使用公钥加密技术对 DNS 数据进行数字签名，当 DNS 服务器响应一个查询时，它会在返回的 DNS 记录中附加一个数字签名，客户端在接收到带有签名的 DNS 记录后，会使用对应的公钥对该签名进行验证，只有当签名验证通过后，客户端才认为该 DNS 记录是可信的，否则将丢弃该记录并重新发起查询或采取其他安全措施，一个银行网站启用了 DNSSEC，当用户访问该银行网站时，用户的浏览器会首先验证从 DNS 服务器获取的关于该银行域名的 DNS 记录签名是否有效，如果签名无效，浏览器会提示用户可能存在安全风险，阻止用户访问可能被篡改的虚假网站。
2017 年的应用进展：在 2017 年，越来越多的顶级域名注册机构开始强制要求其下注册的域名必须支持 DNSSEC，这意味着更多的网站管理员需要配置和部署 DNSSEC，以提高其网站的安全性和可信度，各大互联网服务提供商（ISP）也在逐步完善对 DNSSEC 的支持，确保在其网络环境中能够正确处理和验证带有 DNSSEC 签名的 DNS 流量。
（二）DNS over HTTPS（DoH）的兴起
产生背景：传统的 DNS 协议基于 UDP 或 TCP 传输，且未加密，这使得用户的 DNS 查询请求容易被窃听和篡改，为了解决这一问题，DNS over HTTPS 应运而生，它将 DNS 查询封装在 HTTPS 请求中，利用 HTTPS 的安全特性（如 SSL/TLS 加密）来保护 DNS 查询的隐私和完整性。
工作机制：当用户发起一个 DNS 查询时，不再是直接向传统的 DNS 服务器发送请求，而是将查询请求通过 HTTPS 协议发送到一个支持 DoH 的服务端点（通常由用户的浏览器或操作系统提供），该服务端点收到查询后，会代表用户向目标 DNS 服务器发起查询，直到获得答案后再通过 HTTPS 响应返回给用户，谷歌推出的公共 DoH 服务，用户可以在浏览器设置中将 DNS 服务器配置为谷歌的 DoH 服务地址，当用户访问某个网站时，浏览器会通过 HTTPS 向谷歌的 DoH 服务发送 DNS 查询请求，谷歌服务在解析域名后将结果返回给浏览器，浏览器再根据解析得到的 IP 地址访问目标网站。
2017 年的发展情况：在 2017 年，一些主流的浏览器厂商开始积极推广和支持 DoH，Mozilla Firefox 浏览器在其新版本中默认启用了 DoH 功能，并与 Cloudflare 合作提供 DoH 服务，这引发了业界对 DoH 技术的广泛关注和讨论，许多互联网企业和安全专家认为 DoH 有望成为提升用户隐私保护和网络安全的重要手段之一。
三、相关问题与解答
（一）问题：DNSSEC 的数字签名是如何生成和验证的？
解答：DNSSEC 的数字签名生成过程如下：域名所有者或管理员需要生成一对密钥，包括私钥和公钥，私钥用于对 DNS 记录进行数字签名，公钥则用于向外界公开，以便客户端或其他 DNS 服务器验证签名，当要对一个 DNS 记录进行签名时，使用私钥对该记录的关键信息（如域名、IP 地址、TTL 值等）按照特定的哈希算法生成一个消息摘要，然后使用私钥对这个消息摘要进行加密，生成的数字签名就附加在该 DNS 记录上一起发布到 DNS 服务器上。
验证过程：当客户端或其他 DNS 服务器收到带有数字签名的 DNS 记录时，会先使用相同的哈希算法对接收到的 DNS 记录的关键信息生成一个新的消息摘要，使用对应的公钥对这个新的摘要进行解密操作，得到解密后的信息，如果解密后的信息与原始的消息摘要一致，则说明该 DNS 记录在传输过程中没有被篡改，数字签名验证成功；否则，验证失败，表明该 DNS 记录可能已被篡改，客户端应谨慎对待或重新发起查询。
（二）问题：DNS over HTTPS（DoH）是否会对网络性能产生影响？
解答：DNS over HTTPS（DoH）在一定程度上可能会对网络性能产生轻微影响，主要体现在以下几个方面：
延迟增加：由于 DoH 将 DNS 查询封装在 HTTPS 请求中，相比于传统的直接向 DNS 服务器发送查询的方式，增加了一层封装和解封装的处理过程，这可能会导致一定的网络延迟，尤其是在网络拥塞或服务器负载较高的情况下，延迟会更加明显，在一些高并发的网络环境中，大量的 DoH 请求可能会导致网络设备和服务器的处理时间延长，从而影响整体的网络响应速度。
带宽消耗：HTTPS 协议本身需要额外的开销来建立安全连接和维护加密通信，这会导致相比传统 DNS 查询消耗更多的网络带宽，虽然对于单个查询来说，带宽的增加可能不明显，但在大规模应用或网络流量较大的情况下，总体的带宽消耗会对网络性能产生一定的影响，在一个企业网络中，如果有大量用户同时使用 DoH 进行域名解析，可能会占用较多的网络出口带宽，影响其他网络应用的正常使用。
随着技术的不断优化和网络基础设施的提升，这些性能影响正在逐渐减小，从安全和隐私保护的角度来看，DoH 所带来的好处远远超过了其对网络性能的微小影响。
来源互联网整合，作者：小编，如若转载，请注明出处：https://www.aiboce.com/ask/158022.html
