基本概念

DNS缓存是一种存储机制，用于临时保存域名的解析数据，通常位于用户的设备、路由器或ISP的服务器中，以提高网络访问速度和效率。

当用户访问一个域名时，设备首先检查本地缓存，若找到对应解析数据则直接使用，否则设备会向ISP或其他DNS服务器查询，并将结果存储在缓存中以备后续使用。

相关文档：

• 添加解析记录后多久生效？
• 修改或删除解析后多久生效？

TTL（Time To Live），指解析记录在本地DNS服务器中的缓存时间，合理设置TTL可以平衡DNS服务器的负载和解析速度，同时影响DNS变更的生效时间。

当本地DNS服务器收到某一域名的解析请求时，需要向域名指定的权威DNS服务器发送解析请求获取解析记录。获得的解析记录会在本地DNS服务器中保存一段时间。在这段时间内，如果本地DNS服务器再次收到域名的解析请求，将不再向权威DNS服务器发送解析请求，而是直接返回保存在本地DNS服务器中的解析记录。

解析记录在本地DNS服务器的保存时间就是TTL值，用户可以在为公网域名或者内网域名添加记录集时设置，具体操作请参见管理记录集。

如下操作的生效时间均与TTL值有关，如果要加快生效，可以通过调小TTL值的方式实现：

• 添加解析记录后多久生效？
• 修改或删除解析后多久生效？
• 修改DNS服务器后多久生效？

递归查询和递归解析是DNS解析中的两个关键步骤，递归查询由客户端发起，递归解析由DNS服务器执行，确保客户端能够高效地获得域名解析结果。

• 递归查询：是客户端（如用户的计算机）向DNS服务器发送的一种请求类型。客户端发送递归查询请求到DNS服务器，DNS服务器负责处理整个查询过程，直到找到目标域名的查询结果并返回给客户端。客户端只需发送一次请求，无需多次查询不同的服务器。
• 递归解析：是DNS服务器在处理递归查询请求时所采用的方法。当DNS服务器收到递归查询请求时，从根服务器开始，逐步查询顶级域名服务器，直到找到权威域名服务器，获取目标域名的查询结果并返回给客户端。用户无需自行处理复杂的查询过程。

相关文档：

设置子域名递归解析

域名系统安全扩展（Domain Name System Security Extensions，简称DNSSEC），通过数字签名和公钥加密确保DNS应答报文的真实性和完整性，能够保护用户不被重定向到非预期地址，防止DNS欺骗和缓存污染等攻击，保护用户核心业务。

工作原理和主要功能

• 数字签名保证数据完整性：对DNS记录进行签名，验证数据完整性，确保DNS记录未被篡改。
• 公钥加密保证数据来源可信：使用公钥验证签名，确保信息来自可信来源。
• 完整信任链预防DNS欺骗与缓存污染：从根服务器到顶级域名服务器，再到权威服务器，形成完整的信任链，阻止攻击者在DNS缓存中插入虚假记录。

相关文档：

配置DNSSEC

域名密钥识别邮件（DomainKeys Identified Mail，简称DKIM）是一种用于验证电子邮件来源真实性和完整性的技术标准，通过数字签名机制防止邮件伪造和篡改。

核心原理和工作流程：

1. 密钥生成与分发
   1. DKIM使用一对密钥：私钥和公钥。
   2. 私钥由发送方的邮件服务器保管，用于签名邮件。
   3. 公钥存储在发送方域名的DNS记录中，通常作为TXT记录，供接收方查询。
2. 邮件签名过程
   1. 发送邮件时，邮件服务器使用私钥对邮件的特定部分（如报头和正文）生成数字签名。
   2. 签名信息被插入到邮件的DKIM-Signature报头字段中，包含哈希值、使用的算法（如RSA-SHA256）和域名信息。
3. 接收方验证
   1. 接收方服务器解析邮件头中的DKIM-Signature字段，提取签名信息。
   2. 通过查询发送方域名的DNS记录获取公钥。
   3. 使用公钥验证签名，计算邮件内容的哈希值并与签名中的哈希值进行比较。
   4. 如果匹配，验证通过，确认邮件未被篡改且来源真实；否则，可能标记为垃圾邮件或拒收。

示例：

DKIM-Signature: v=1; a=rsa-sha256; c=relaxed/relaxed; d=example.com;  
s=mail; h=From:Subject:Date:Message-ID:To:MIME-Version:Content-Type;  
bh=abc123==; b=def456==; 

发送方框架策略（Sender Framework Policy，简称SPF）是一种用于验证电子邮件发件人身份的技术，旨在防止垃圾邮件和钓鱼攻击。它通过检查发送邮件的IP地址是否被发件人域名的管理员授权，来验证邮件的合法性。

核心原理和工作流程：

1. 定义授权IP地址

   域名所有者在DNS中配置一条TXT或SPF记录，列出所有被授权发送邮件的IP地址或服务器。

2. 验证过程
   1. 当邮件服务器收到邮件时，它会检查邮件的Return-Path（发件人地址）。
   2. 邮件服务器通过DNS查询发件人域名的SPF记录。
   3. 验证发送邮件的IP地址是否在SPF记录中被授权。
   4. 如果匹配，邮件通过验证；否则，可能被标记为垃圾邮件或拒收。

示例：

以下是TXT类型解析记录的SPF记录值：

v=spf1 include:spf.example.com -all

• v=spf1：表示这是SPF记录，版本为1。
• include:spf.example.com：包含spf.example.com域名的SPF记录。
• -all：表示所有未明确授权的IP地址将被直接拒绝（~表示“软失败”，-表示“硬失败”）。

  如果此处为“~all”，则表示软失败，所有未明确授权的IP地址发送的邮件将被标记为可疑，但不会被直接拒绝。

泛解析，是指使用通配符“*”作为子域名的主机记录，实现所有子域名指向同一个IP地址或目标。

例如，域名.example.com设置泛解析*.example.com，则会将该域名下的所有子域名如www.example.com、abc.example.com、test.example.com等子域名都将解析到与 *.example.com 相同的IP地址或目标。

应用场景：

• 静态资源托管

  将所有子域名指向同一个CDN或静态资源服务器，提高资源加载速度和管理效率。

• 测试和开发环境

  快速创建和测试多个子域名，无需频繁调整DNS设置，提升开发效率。

• 用户生成内容平台

  允许用户创建个人子域名博客或网站，所有子域名自动指向同一服务器，简化管理流程。

• API服务

  通过不同子域名访问同一API服务，统一管理API请求，提升服务灵活性。

• 多语言或地区站点

  所有子域名指向同一多语言网站，根据用户语言或地区自动切换内容，优化用户体验。

• 临时或动态子域名

  快速创建临时促销或活动子域名，无需手动配置，提升响应速度。

相关文档：

设置域名泛解析

域名所有者，即注册购买域名的个人或组织。以下是域名所有者的详细说明：

• 所有权与控制权：域名所有者拥有域名的使用权，可以决定如何使用该域名，例如指向特定的服务器或设置子域名。
• 注册与维护：域名所有者需在注册商处注册域名，并支付年度费用以续费，确保域名不被过期。
• 信息管理：注册时需提供个人信息（如姓名、地址、邮箱），这些信息通常在WHOIS数据库中公开，但可选择隐私保护服务以隐藏真实信息。
• 管理权限：域名所有者可以管理DNS设置，控制网站的解析，设置安全记录（如DKIM、SPF），以及转移域名至其他注册商。
• 续费与转移：必须及时续费以避免域名过期。若想转让域名，需通过注册商进行转移或在二级市场交易。

DNS服务商是提供域名系统（DNS）服务的公司，负责管理域名的解析设置，确保域名正确指向对应的服务器IP地址。以下介绍DNS服务商的主要作用：

• 域名解析：将用户输入的域名转换为对应的IP地址，使用户能够访问目标网站。
• 管理DNS记录：允许用户设置和管理各种DNS记录，如A记录、CNAME记录、MX记录等。
• 高可用性和稳定性：通过多节点分布，确保DNS解析的稳定性和快速响应。
• 增值服务：提供负载均衡、CDN集成、DDoS防护、智能解析等功能，提升网站性能和安全性。