DNS：为区域设置的 NS 名称是否必须与上游 TLD 服务器报告的 NS 名称相匹配？

Question

我注意到，一些服务提供商正在为其客户的域运行 DNS 服务，其中为该区域设置了 NS 名称，并由权威名称服务器返回（在权限部分/NS 和 SOA 记录中），但与 NS 名称不匹配由上游服务器（例如 TLD 服务器）返回并用于查找。

示例：

$ dig the-domain-name-here.com NS

; <<>> DiG 9.4.2-P1 <<>> the-domain-name-here.com NS
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 7844
;; flags: qr rd ra; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 2

;; QUESTION SECTION:
;the-domain-name-here.com.          IN      NS

;; ANSWER SECTION:
the-domain-name-here.com.   172370  IN      NS      ns1.service-provider-here.net.
the-domain-name-here.com.   172370  IN      NS      ns2.service-provider-here.net.

;; ADDITIONAL SECTION:
ns1.service-provider-here.net.      7200    IN      A       192.168.100.1
ns2.service-provider-here.net.      7200    IN      A       192.168.100.2

;; Query time: 65 msec
;; SERVER: 192.168.0.1#53(192.168.0.1)
;; WHEN: Wed Mar 11 19:44:00 2009
;; MSG SIZE  rcvd: 118

$ dig @ns1.service-provider-here.net。 the-domain-name-here.com

; <<>> DiG 9.4.2-P1 <<>> @ns1.service-provider-here.net  the-domain-name-here.com
; (1 server found)
;; global options:  printcmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 48010
;; flags: qr aa rd; QUERY: 1, ANSWER: 1, AUTHORITY: 2, ADDITIONAL: 0
;; WARNING: recursion requested but not available

;; QUESTION SECTION:
;the-domain-name-here.com.          IN      A

;; ANSWER SECTION:
the-domain-name-here.com.   86400   IN      A       192.168.100.3

;; AUTHORITY SECTION:
the-domain-name-here.com.   86400   IN      NS      ns1.different-trade-name.net.
the-domain-name-here.com.   86400   IN      NS      ns2.different-trade-name.net.

;; Query time: 68 msec
;; SERVER: 192.168.100.1#53(192.168.100.1)
;; WHEN: Wed Mar 11 19:46:00 2009
;; MSG SIZE  rcvd: 100

gTLD 服务器表示名称服务器是 ns1.service-provider-here.net，当我们在该服务器上查找名称时，它给出了权威答案，但泄漏了不同的 NS权威部分中的名称 (ns1. different-trade-name.net)。

有数千个域以这种方式配置。 它似乎不会造成任何问题，但它似乎是错误的。

这真的重要吗？ 是否会出现解析器/客户端因此进行额外查找甚至无法解析名称的情况？

Answer 1

嗯，答案取决于观点。

从技术上讲，毫无疑问，父级和区域之间的任何差异都是错误的。 它永远不应该发生（某些注册管理机构使用自动工具来检查，例如 .fr< 中的 Zonecheck /代码>）。

实际上，这种情况经常发生。 最常见的原因是人们更改了其区域中的 NS 记录，却忘记告知注册管理机构（或注册商，如果注册管理机构强制您通过中间人）有关更改的信息。

真的有关系吗？ 好吧，正如你所说，只要两个集合之间存在非空交集，它就应该起作用。 但依赖它是危险的，因为再进行一次更改，两组可能会完全分开。 因此，接受差异并不是一个好主意。

从法律上讲，子区域永远是正确的，父区域中的NS记录不具有权威性。 解析器必须用他们在子区域中找到的列表替换委托。

Answer 2

如果父级具有引用该区域权威 DNS 服务器的有效记录，则解析应该大部分有效。

我可以想到至少一种情况，如果您有不同的记录和其他一些错误配置，它们可能会成为问题。

该问题与区域更新时名称服务器如何发出通知有关。 例如，当您在主 DNS 服务器上使用绑定时，您更新区域然后重新加载，绑定将向区域中列出的所有服务器发送更新通知。 如果他们是另一个权威服务器，在主区域中没有 NS 记录，那么它不会收到通知，并且会拥有较旧的数据。 如果父级指向该服务器未获取更新，那么您可能会遇到问题，因为该服务器将提供数据结果不足。

另外，请记住，存在“水平分割”DNS 之类的东西。 有时，您需要向网络内的内部主机提供与向公众显示的区域不同的视图。 当您比较名称服务器记录时，请确保从相同的角度查看该区域。