作者 | 阿文责编 | 郭芮DNSmasq是一个小巧且方便地用于配置DNS和DHCP的工具，适用于小型网络，它提供了DNS功能和可选择的DHCP功能。自己搭建公共DNS更加灵活，如果是在本地搭建，还可以大幅提高解析速度。相比较BIND那复杂的配置来说，dnsmasq轻量很多。概念首先，我们需要了解几个概念，即根服务器和 DNS 的解析步骤方便大家理解。根域名服务器（root name server）是互联网域名解析系统（DNS）中最高级别的域名服务器，负责返回顶级域名的权威域名服务器的地址。我们在网址中键入的域名，其背后都需要通过 DNS 系统去解析返回 IP，从而让用户访问指定的服务器资源。而 DNS 查询解析记录并不是直接去根服务器去查询，而是逐级递归往上一层一层的去查。目前世界上共计有 13 台根服务器，由12 个不同的独立组织运营，其中美国控制的有10台，欧洲2台，位于英国和瑞典，亚洲1台位于日本。具体的根服务器信息，可也在 https://root-servers.org/ 查看。我们可以使用 dig 命令去查看即可，如下所示：# dig; <<>> DiG 9.10.6 <<>> @114.114.114.114; (1 server found);; global options: +cmd;; Got answer:;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 26189;; flags: qr rd ra; QUERY: 1, ANSWER: 13, AUTHORITY: 0, ADDITIONAL: 1;; OPT PSEUDOSECTION:; EDNS: version: 0, flags:; udp: 512;; QUESTION SECTION:;. IN NS;; ANSWER SECTION:. 658 IN NS a.root-servers.net.. 658 IN NS b.root-servers.net.. 658 IN NS c.root-servers.net.. 658 IN NS d.root-servers.net.. 658 IN NS e.root-servers.net.. 658 IN NS f.root-servers.net.. 658 IN NS g.root-servers.net.. 658 IN NS h.root-servers.net.. 658 IN NS i.root-servers.net.. 658 IN NS j.root-servers.net.. 658 IN NS k.root-servers.net.. 658 IN NS l.root-servers.net.. 658 IN NS m.root-servers.net.;; Query time: 39 msec;; SERVER: 114.114.114.114#53(114.114.114.114);; WHEN: Wed Jun 26 17:30:51 CST 2019;; MSG SIZE rcvd: 239可以看到，根服务器以 A到 M 开头的二级域名后面跟上 root-servers.net ，正好是 13 台，但是这 13 并不是物理上的 13 台，而是逻辑上的 13 台，其背后拥有几百台的镜像机器来为其分担请求，全球很多国家都有根服务器的镜像，这些镜像服务器主要是用来分担根服务器的负载。一次DNS 查询可以短到两个包：一个查询包、一个响应包，顾名思义，查询包是用来发送查询的，例如你要查询www.baidu.com 的解析结果，而响应包则会返回解析结果给你。事实上，一个 DNS 的查询过程非常复杂，它分成很多个步骤：第一步：客户机提出域名解析请求，并将该请求发送给本地的域名服务器。第二步：当本地的域名服务器收到请求后，就先查询本地的缓存，如果有该纪录项，则本地的域名服务器就直接把查询的结果（域名对应的IP地址）返回。第三步：如果本地的缓存中没有该纪录，则本地域名服务器就直接把请求发给根域名服务器，然后根域名服务器再返回给本地域名服务器一个所查询域(根的子域) 的主域名服务器的地址。第四步：本地服务器再向上一步返回的域名服务器发送请求，然后接受请求的服务器查询自己的缓存，如果没有该纪录，则返回相关的下级的域名服务器的地址。第五步：重复第四步，直到找到正确的纪录。第六步：本地域名服务器把返回的结果保存到缓存，以备下一次使用，同时还将结果返回给客户机。DNS服务器通过分级查询逐级获取到对应域名的 IP 地址，大致过程如下：从”根域名服务器”查到”顶级域名服务器”的NS记录和A记录；从”顶级域名服务器”查到”次级域名服务器”的NS记录和A记录；从”次级域名服务器”查出”主机名”的IP地址。这里提到了一些概念，例如 NS A 记录，这些是 DNS 的记录类型，常见的记录类型有：A地址记录（Address），返回域名指向的IP地址。NS域名服务器记录（Name Server），返回保存下一级域名信息的服务器地址。该记录只能设置为域名，不能设置为IP地址。MX邮件记录（Mail eXchange），返回接收电子邮件的服务器地址。CNAME规范名称记录（Canonical Name），返回另一个域名，即当前查询的域名是另一个域名的跳转。PTR逆向查询记录（Pointer Record），只用于从IP地址查询域名CAACAA（Certification Authority Authorization，证书颁发机构授权）是一项防止HTTPS证书错误颁发的安全措施，遵从IETF RFC6844。从2017年9月8日起，要求CA（Certification Authority，证书颁发）机构执行CAA强制性检查。通常来说，为了服务的安全可靠，至少应该有两条NS 记录，而A记录和MX记录也可以有多条，这样就提供了服务的冗余性，防止出现单点失败。DNS 并不安全事实上，DNS 是一个很古老的协议，其设计并非完美，存在很多问题，比如劫持、不加密等问题。那么什么是 DNS 劫持呢？DNS劫持又称域名劫持,是指通过某些手段取得某域名的解析控制权，修改此域名的解析结果，导致对该域名的访问由原IP地址转入到修改后的指定IP，其结果就是对特定的网址不能访问或访问的是假网址。如果可以冒充域名服务器，然后把查询的IP地址设为攻击者的IP地址，这样的话，用户上网就只能看到攻击者的主页，而不是用户想要取得的网站的主页了，这就是DNS劫持的基本原理。DNS 劫持危害十分严重，轻则导致不能上网，影响网速，重则导致被黑客诱导到恶意网站，导致个人财产和信息泄露或者发布恶意广告。因此，一般我们建议大家把 DNS 地址修改为公共的 DNS，如上面我们所说的 DNS 原理，公共的 DNS 由于使用人数多，其缓存数据更新也比一般的 DNS 要快，解析结果更准确，此外，其带来的一个好处就是避免被劫持。目前也有其他的方案可以防止劫持，例如 DNSSEC，域名系统安全扩展，DNSSEC旨在保护应用程序（以及服务这些应用程序的缓存解析器）免受伪造或不当操纵的DNS数据所造成的影响例如域名服务器缓存污染的数据。来自DNSSEC保护区的所有答案都经过数字签名。通过检验数字签名，DNS解析器可以核查信息是否与区域所有者发布的信息相同（未修改和完整），并确系实际负责的DNS服务器所提供。或者可以自己搭建一个 DNS 服务器。例如在本地搭建一个 dnsmaq 小型的 DNS 服务器来防止劫持。安装dnsmaq以 centos 7 为例，直接执行如下命令：yum -y install dnsmasq配置1.配置文件在 /etc/dnsmasq.conf，我们要让它能用起来需要做如下配置：#指定上游dns服务器resolv-file=/etc/resolv.dnsmasq.conf#表示严格按照 resolv-file 文件中的顺序从上到下进行 DNS 解析, 直到第一个成功解析成功为止strict-order# 开启后会寻找本地的hosts文件在去寻找缓存的域名，最后到上游dns查找#no-resolvlisten-address=0.0.0.0 #0.0.0.0 设置为公网IPconf-dir=/etc/dnsmasq.d # 我们的解析记录都写到这个目录下2.创建 /etc/resolv.dnsmasq.conf，然后添加：# cat /etc/resolv.dnsmasq.confnameserver 119.29.29.29nameserver 114.114.114.114nameserver 8.8.8.8nameserver 168.95.1.13.然后创建 /etc/dnsmasq.d/cloud.conf，添加：address=/baidu.com/127.0.0.1 #将百度的域名解析到127.0.0.1address=/ad.youku.com/127.0.0.1 # 禁止优酷广告address=/ad.iqiyi.com/127.0.0.1 # 禁止iqiyi广告格式是：address=/domain.com/dns比如上面的百度，我就把它都解析到127.0.0.1。实现DNS分流server=/cn/114.114.114.114 # cn的域名都走114的dnsserver=/google.com/115.159.220.214 # 将谷歌的解析都走115.159.220.214上面的是将所有cn结尾的域名都走114解析，下面是将google.com 走115.159.220.214解析。开启防火墙53端口后，本地测试下 53 端口是否是通的：➜ www nc -vuz 121.42.18.6 53found 0 associationsfound 1 connections:1: flags=82<CONNECTED,PREFERRED>outif src 192.168.2.32 port 49939dst 121.42.18.6 port 53rank info not availableConnection to 121.42.18.6 port 53 [udp/domain] succeeded!启动dnsmaq：service dnsmasq start设置为开机自启动。# systemctl enable dnsmasqCreated symlink from /etc/systemd/system/multi-user.target.wants/dnsmasq.service to /usr/lib/systemd/system/dnsmasq.service.测试➜ www dig m.baidu.com @121.42.18.6; <<>> DiG 9.8.3-P1 <<>> m.baidu.com @121.42.18.6;; global options: +cmd;; Got answer:;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 41523;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0;; QUESTION SECTION:;m.baidu.com. IN A;; ANSWER SECTION:m.baidu.com. 0 IN A 127.0.0.1;; Query time: 30 msec;; SERVER: 121.42.18.6#53(121.42.18.6);; WHEN: Mon Aug 28 10:32:27 2017;; MSG SIZE rcvd: 45可以看到，百度的子域名已经被解析到127.0.0.1了,此外还可以配合dnscrypt-proxy 对查询进行加密，这里就不展开了。【End】
本文出自快速备案，转载时请注明出处及相应链接。