DNS 协议使用用户数据报协议（UDP）作为默认传输协议，这一选择带来了既有积极影响，也有消极后果。UDP 的无状态查询/响应模型与 DNS 交易的无状态查询/响应模型相吻合，这使得 DNS 服务器引擎能够高效地处理大量查询。然而，UDP 的最小开销意味着它无法及时检测到数据包丢失，也无法有效地防御 DNS 欺骗攻击，如源地址伪造、有效载荷修改和第三方数据包注入。UDP 处理大型有效载荷的方式也是一个问题，有效载荷最大可达 65,507 个八位字节（octets），但实际上，大多数网络都无法处理如此大的 IP 数据包。
IP 分片问题
IP 分片被用来将大型 IP 数据包适应于使用较小的最大传输单元（MTU）的网络路径，但 IP 分片本身就是一个问题。RFC 8900 指出，依赖 IP 层来执行必要的适应以容纳大型有效载荷在单个数据报交易中是一种非常糟糕的方法，从而导致了运输性能问题。此外，IETF 正在进行的工作“DNS over UDP 中的 IP 分片避免”指出，分片的 DNS 响应具有系统性弱点，暴露了 DNS 请求者在非路径攻击者的 DNS 缓存中毒。
DNS 截断机制
为了避免 IP 分片，DNS 限制了通过 UDP 传输的最大有效载荷大小。RFC 1035 指出，通过 UDP 传输的消息限制为 512 个八位字节（不包括 IP 或 UDP 头）。更长的消息将被截断，并在头部设置截断（TC）位。这种机制可以防止 DNS 缓存中毒攻击，但也可能导致 DNS 查询失败。因此，理解 DNS 和 UDP 截断的机制对于确保 DNS 查询的安全性和可靠性至关重要。
实际意义
对于运维和网络工程师来说，理解 DNS 和 UDP 截断问题的实际意义在于能够更好地设计和优化 DNS 系统。通过限制 DNS 有效载荷大小和使用截断机制，可以防止 DNS 缓存中毒攻击，确保 DNS 查询的安全性和可靠性。同时，了解 IP 分片的缺点，也可以帮助工程师更好地设计网络架构，避免使用大型 IP 数据包，确保网络的稳定性和性能。
原文: APNIC Blog（2024-07-15）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog