About.Domains

DNS over HTTPS 是把域名解析的查询和应答装进 HTTPS 里传输的做法，让中间的人看不到你访问了哪些域名。传统域名解析是明文的，网络运营方和旁观者都能看到。它和 DNSSEC 解决的不是同一件事。

域名生成算法是恶意软件用来生成大量域名的一种方法，目的是让它和背后的控制服务器碰头。软件每天算出成千上万个候选域名，攻击者只需注册其中几个。这样即使某些域名被封，僵尸网络也不会断线。

DNS 隧道是把数据藏在域名系统查询里传输的方法。因为几乎所有的网络都允许 DNS 查询通过，攻击者可以把要外传的数据编码进域名，发给自己控制的服务器，防火墙往往看不出来。它常被用来在入侵后建立隐蔽通道。

DNSSEC 是域名系统的安全扩展，给域名解析结果加上数字签名，让解析器能验证响应有没有被篡改。域名系统原本默认不验证数据真假，这正是缓存投毒能得手的原因。DNSSEC 从根区逐级建立签名链来补上这一环。

NXDOMAIN 是域名系统返回的一个响应码，表示查询的域名不存在。它和"域名存在但没有某类记录"的响应不同。部分网络服务商会拦截 NXDOMAIN，把不存在的域名导向自己的搜索或广告页面，这被称为 NXDOMAIN 抢答。

DNS 缓存投毒是攻击者向解析器塞入伪造的域名解析结果，让解析器把错误的地址缓存下来，用户随后被导向错误网站。2008 年安全研究员丹·卡明斯基发现的方法让这类攻击一度极易成功，推动了域名系统安全措施的升级。

域名解析可能失败。最常见的是查询的域名不存在，域名系统返回 NXDOMAIN；此外还有权威服务器无响应、配置错误、域名过期被删除等原因。用户看到的表现是浏览器无法打开网站。大多数解析故障源于域名持有者的配置或续费问题。

域名解析是把域名翻译成 IP 地址的过程。用户输入域名后，解析器逐级向根服务器、顶级域服务器和权威服务器查询，最终拿到 IP 地址返回给浏览器。之前查过的域名会直接命中缓存，跳过完整流程。

权威域名服务器是保存域名真实记录、对查询给出最终答案的服务器。当解析器逐级查询到它时，它返回该域名对应的 IP 地址等记录。域名持有者通过 NS 记录指定自己的权威服务器，通常会配置多台保证可用性。

子域名是在已注册域名之下再划分的域名，例如 blog.example.com 中 blog 就是 example.com 的子域。子域名由域名持有者在 DNS 中自行创建，数量没有限制，常用于给不同服务分配独立地址。

IP 地址是互联网上设备的数字地址，当前主流是 32 位的 IPv4 和 128 位的 IPv6。域名是人类可读的名字，通过域名系统映射到 IP 地址；一个域名可以对应多个 IP，一个 IP 也可以承载多个域名。

根服务器是域名系统最顶层的服务器，回答"某个顶级域由谁管理"。全球共有 13 个根服务器标识（a.root-servers.net 到 m.root-servers.net），每个标识实际由分布全球的服务器集群通过 Anycast 提供，由多家机构运营。

域名系统（DNS）是互联网的"通讯录"：维护域名与 IP 地址的对应关系，把用户输入的域名翻译成服务器听得懂的数字地址。查询由分布全球的多级服务器接力完成，最顶端的根区数据由 IANA 维护。

域名是互联网上用于定位资源的字符串标识，例如 about.domains、example.com。每台服务器都有数字形式的 IP 地址，域名是它的可读替身：人记住名字，数据仍按数字地址传送。域名全球唯一，一个名字同时指向一个所有者。

登录