![公共 DNS 如何工作?](https://linux22.com/image/1564479/%E5%85%AC%E5%85%B1%20DNS%20%E5%A6%82%E4%BD%95%E5%B7%A5%E4%BD%9C%EF%BC%9F.png)
如果我有一个小型企业网络,其中有一些 Web 服务器和一个带有 DNSSEC 的 DNS,用于签署区域文件。我可以编辑区域文件并配置映射(名称 -> IP)以及任何其他映射(例如 TXT 记录等),然后签署文件。支持 DNSSEC 的客户端查询 DNS 并获取记录、验证签名等。
如果我的用户使用公共 DNS(如 8.8.8.8),我该如何在那里配置自己的 DNS TXT 记录。公共 DNS(如 8.8.8.8)是 DNS 服务器还是仅仅是解析器?公共 DNS 究竟是如何解析example.com
使用 DNSSEC 在其 DNS 服务器中进行身份验证的?谁有签名密钥?example.com
还是公共 DNS?
答案1
8.8.8.8 之类的公共 DNS 是 DNS 服务器还是仅仅是解析器?
它只是一个像 ISP 提供的解析器。它不会改变任何事物关于如何管理您的域名:记录仍然保存在您的“权威”服务器的区域文件中,并且您使用自己的密钥对该区域进行签名。
如果我的用户使用公共 DNS(如 8.8.8.8),我该如何在那里配置我自己的 DNS TXT 记录。
你不需要。由于 8.8.8.8 是一个解析器,它将遵循委托链(NS 记录),并从中获取记录你自己权威服务器。(与解析“google.com”等其他域名的方式完全相同……)
因此,如果域名是公共的(从注册商处购买)并且您的 DNS 服务器是公开可访问的,则不会发生任何变化。
当然,如果域名不是已委托 – 例如,如果它位于某个虚构的 TLD 下mycompany.lan
– 那么公共解析器将无法看到它一点儿也不。因此,不要使用虚构的域名。
公共 DNS 如何解析使用 DNSSEC 在其 DNS 服务器中进行身份验证的 example.com?
对于常规 DNS 记录检索,请参见上文,并参阅大量现有文档。简而言之,解析器会从根区域开始跟踪 NS 记录链,直到找到您自己的服务器。
DNSSEC 验证非常相似:除了 NS 记录(指向下一个服务器)之外,每个委托还具有 DS 记录(具有下一个区域的公钥)。解析器或验证器再次遵循 DS 记录链。