KNOWLEDGE ARTICLE

DNS 是什么？

域名系统

把域名转换为服务器地址，并承载邮件、验证与安全策略等记录。

核心解释

DNS 决定用户访问域名时连接到哪里。A、AAAA、CNAME、MX、TXT、CAA 等记录分别承担网站解析、邮件投递、服务验证和证书签发约束等职责。

DNS 是什么

DNS（Domain Name System，域名系统）是互联网的分布式命名系统。它最常见的任务，是把 notion.com 这类便于记忆的域名转换为设备可以连接的 IP 地址。网站、邮件、证书授权、服务发现和平台验证也会使用 DNS，因此它更像一套面向互联网服务的地址与规则目录。

DNS 采用分层管理。根、顶级域和各个授权区域分别管理不同范围，没有一台服务器保存全世界的全部记录。这样的结构便于独立管理，也让解析服务能够通过缓存和多节点部署保持较高的可用性。

DNS 完整解析过程

  • 用户输入域名后，浏览器、操作系统和本地网络会先查找缓存。缓存中有仍在有效期内的答案时，可以直接使用。
  • 没有缓存时，请求会交给递归解析器。解析器先询问根名称服务器应去哪里查找对应顶级域，再向顶级域名称服务器取得目标域名的权威 DNS 地址。
  • 权威名称服务器返回 A、AAAA、CNAME 或其他记录。递归解析器把答案和 TTL 一并交给客户端，并在允许的时间内保存缓存。
  • 浏览器获得服务器地址后，才会继续建立 TCP 或 QUIC 连接、协商 TLS 并请求网页。DNS 是访问链路的起点，不负责网页内容传输。
浏览器通过递归解析器、根、顶级域和权威名称服务器取得网站 IP 地址的流程图
一次 DNS 查询如何找到网站解释一次域名查询的角色顺序与缓存捷径

权威 DNS 与递归解析器有什么区别

权威 DNS 保存某个区域的正式记录，并对该区域给出最终答案；递归解析器则代表用户逐级查找答案、处理 CNAME 链并缓存结果。可以把权威 DNS 理解为负责维护原始地址簿的一方，把递归解析器理解为代替用户完成查询的服务。

网站运营方通常管理权威区域或委托 DNS 服务商管理；用户所使用的递归解析器则可能来自网络运营商、企业网络或公共 DNS 服务。两者职责不同，出现故障时表现也不同。

常见 DNS 记录分别说明什么

A、AAAA、CNAME、MX、TXT、CAA 和 NS 记录对应网站服务的关系图
DNS 记录与网站服务关系图建立 DNS 记录与网站、邮件、证书和验证服务的对应关系

DNS 缓存与 TTL 如何影响访问

TTL 规定一条 DNS 记录可以被缓存多长时间。较长 TTL 可以减少重复查询并提高缓存命中率，但解析变更后旧答案可能保留更久；较短 TTL 便于故障切换和迁移，却会增加权威 DNS 的查询压力。

人们常说的“DNS 生效时间”通常不是记录在互联网上逐台复制，而是不同客户端和递归解析器中的旧缓存陆续到期。计划迁移时，通常会提前降低 TTL，并在稳定后再恢复到适合日常运行的数值。

DNS 安全与常见异常

  • DNSSEC 使用数字签名帮助解析器验证回答来自正确区域且未被篡改，但不加密查询内容，也不替代 HTTPS。
  • 缓存投毒或 DNS 欺骗可能让解析器保存错误地址，使用户被导向非预期服务器；启用并正确验证 DNSSEC 可以降低这类风险。
  • DNS 服务器无响应可能来自本地网络、递归解析器、权威 DNS 或区域配置异常。只有确认故障发生在哪一层，才能选择更换解析器、修正记录或联系服务商。
  • SERVFAIL、NXDOMAIN 与超时代表不同情况：前者通常是解析失败，NXDOMAIN 表示名称不存在，超时则表示在规定时间内没有取得响应。

实际应用与信息解读：通过 DNS 信息可以看出什么

DNS 数据可以提供网站地址、IPv6 支持、DNS 托管商、邮件服务商、平台接入和安全配置等线索。多个信号组合后，有时可以推测基础设施形态，例如 CNAME 指向已知平台且响应标头一致时，平台识别的把握更高。

IP 地理位置通常对应当前网络节点。网站使用 Cloudflare 等 CDN 时，地址更可能属于边缘节点，因此公司所在地、源站位置和数据存储位置仍属于未知。服务平台的判断也应由 CNAME、名称服务器和响应特征等多项信息相互印证。

重点关注

DNS 配置会直接影响网站可用性、邮件可靠性以及部分安全防护能力。

常见问题

DNS 会直接影响网站速度吗？

会影响访问开始前的域名解析时间，但页面整体速度还受到网络距离、TLS、服务器响应、CDN 缓存和前端资源等因素影响。稳定的 DNS 托管与合理 TTL 通常有助于减少解析等待和故障概率。

修改 DNS 记录后为什么不会立即全网生效？

递归解析器和客户端可能仍在使用旧缓存。传播时间主要受旧记录 TTL、各层缓存和服务商刷新策略影响。

DNS 与 RDAP/WHOIS 有什么区别？

DNS 告诉客户端如何找到网站和邮件服务；RDAP/WHOIS 提供域名登记事件、注册商和状态等注册数据。

没有某种 DNS 记录是否代表对应功能没有使用？

不一定。某些功能可能使用其他主机名、不同 DNS 区域或非 DNS 方式实现。公开结果不足时，更准确的状态是未知；只有明确取得完整响应并确认记录不存在时，才适合表述为暂未发现。

DNSSEC 和 HTTPS 可以互相替代吗？

不能。DNSSEC 主要验证 DNS 响应的真实性，HTTPS 保护浏览器与连接终点之间的数据传输和域名身份，两者保护的是访问链路中的不同环节。

权威资料