DNS

以前一直以为这事必须由ISP以个案的方式去做，最近跟北美一家ISP接触加上查阅资料以后发现其实早就有办法，原理和普通的域名解析类似，也是可以使用delegate和glue去把解析权移交给持有IP的客户，从而减少ISP自己的负担，在这里记一笔。

一般来说DNS和MX都需要做冗余。前者的冗余和容灾要求要高于后者。

DNS的冗余通常需要做到跨ISP，甚至跨大洲。由于安全和性能方面的理由，提供权威DNS解析的服务器都不应同时作为缓存DNS服务器；此外，实践上权威DNS服务器应该是受保护的管理服务器的slave，而不应直接在权威DNS服务器上操作（读、写分开），这样可以有效减少由于修改操作所导致的downtime。

今天到了Seattle，在一家很便宜的酒店住下。酒店发给我一张密码卡，用来上那里的无线网。摆弄了几下发现：

加密模式是open，所以需要自己加密数据了。

DNS是目前互联网上使用最为普遍，同时也是漏洞很多的一个协议。DNS投毒攻击（Poisoning）是一种比较常见的攻击手法，具体而言，通常一台 DNS 缓存服务器能够影响大量的客户机，通过投毒攻击，能够使得大量用户访问某个具体域名时得到不正确的结果（例如，钓鱼网站，等等）。

Bruce Schneier大师说，DNS漏洞的细节还是被提前披露了，人们开始撰写利用这一漏洞的攻击程序，等等。这里摘录一些比较精彩的内容，推荐您阅读原文。

然而，因此而对 Kaminsky 展开口诛笔伐显然是不对的。在圈外人士看来，也许如果他在这个事情上缄口不语，我们便不会有这许多的麻烦。这显然是不对的， Kaminsky 偶然发现了这个问题，他没有理由相信自己是第一个，更没有理由相信自己是最后一个发现这些问题的。问题出在 DNS 协议本身，而不是 Kaminsky。

最近炒的比较火的一个漏洞是 DNS 协议本身发现的一个严重问题（CERT VU#800113）。国内媒体对此的报道多数都语焉不详，因此我想有必要说说这个漏洞到底是怎么回事。

昨天 康神 说 ReiserFS 网站没反应了，结果一上去发现还真是这样。他的两个 NS 服务器都给出了无 NS 记录的回应，看起来，不像是暂时的硬件故障。

目前我知道国内有至少两家主要的互联网公司用了这样的域名，不知道他们用的是什么域名服务器，至少 BIND 9 是不支持这样做的。

RFC 952 - 美国国防部互联网主机表规范中的相关条文如下：

最近看代码时了解到的，顺手查了一下，在此留个记录：

SRV记录的作用是指明某域名下提供的服务。

例子：

_http._tcp.example.com. SRV 10 5 80. www.example.com

SRV后面项目的含义：

10 - 优先级，类似MX记录
5 - 权重
80 - 端口
www.example.com - 实际提供服务的主机名。

转载请注明出处： https://blog.delphij.net

注意：本文内容已经过时，不再更新。最新内容请参见我在2023年6月的这一篇。

域名服务与邮件服务一样，是非常重要的互联网基础服务。与几年前动辄每年几十$，到现今最低至1.99$的注册服务，域名注册服务商能够从中获取的利润也越来越少。

为了解决利润的问题，多数域名注册服务提供商(Registrar)会捆绑销售一些其它的产品，例如虚拟主机、企业邮箱，乃至新兴的个人blog等等。透过这些服务，他们能够获取更多的利润，同时，这些服务也满足了一些不愿或不会自己架设域名、主页、邮件服务器的用户的需要。幸运的是，这些用户占全部用户总数中的绝大多数。

这里将要讨论的是愿意花费时间精力，并且有能力自己架设域名解析、主页和邮件等服务的用户的需求。首先，架设域名解析等服务器是需要有一些投入的，另一方面，在这种情况下，往往域名注册服务提供商提供的其它服务，例如虚拟主机等，就不再是必要或完全是多余的了，因此，此时价格、可靠性等就成了最大的决定性因素。