域名系统（DNS）作为一个分布式数据库实现，数据库的结构模仿了命名空间本身的结构，即一个层次结构，其中每个“节点”（或“区域”）在分布式数据库中有一个单独的“父节点”和一些数量的“子节点”（或没有）。区域之间的链接点（或“委托”）在域名中用句点（“.”）连接符表示。父区域通过在区域数据中使用名称服务器（NS）资源记录（RR）来表示命名空间中的委托点（“区域切割”）。NS 记录的值是授权该委托区域的 DNS 服务器的名称（是的，规范只允许使用 DNS 服务器名称，而不是其 IP 地址）。如果一个区域由多个授权名称服务器提供服务，则使用多个 NS 记录。如果父区域是 DNSSEC 签名的，则这些委托 NS 记录是未签名的。
DNSSEC 签名和委托记录
在 DNSSEC 签名之前，父区域中只有 NS 记录来表示委托点。所有关于该名称的其他数据都存在于子区域中。如果父区域是 DNSSEC 签名的，则还会有一个 NSEC（或 NSEC3）记录和其关联的 RRSIG 签名，如果委托区域是 DNSSEC 签名的，则父区域还将持有一个 DS 记录和其关联的 RRSIG 记录。这些名称服务器的名称不足以允许解析器查询这些服务器，因为我们还需要知道它们的 IP 地址。如果名称服务器是由子区域中的名称命名的，则存在一个循环依赖关系，无法解析。
胶水记录和解析器
为了帮助解析器并加快名称解析过程，父区域通常也携带“胶水记录”，即名称服务器的 IP 地址。这些胶水记录用于引用响应的附加部分，为查询解析器提供查询委托区域的依据。胶水记录曾经是 DNS 解析问题的来源，并且在过去被滥用以尝试破坏解析器持有的缓存 DNS 信息。它们与从中提取名称的区域没有“链接”，可能是错误的。它们也不是 DNSSEC 签名的。当名称服务器名称不来自委托区域（及其后代），或在 DNS 术语中不在“监狱”中时，胶水记录严格来说不是必需的，因为解析器可以一般使用 DNS 解析机制递归解析名称（名称循环除外）。然而，解析名称服务器记录会减慢名称解析速度，只要这些名称仅在顶级域区域遍历的上下文中使用，胶水记录通常被认为是有用的。
实际意义
对于运维和网络工程师来说，了解 DNS 和 DELEG 记录的工作机制至关重要。正确配置 DNS 和使用胶水记录可以帮助提高名称解析速度和安全性，而错误的配置可能会导致解析问题和安全漏洞。因此，了解 DNS 和 DELEG 记录的工作原理对于确保网络的稳定性和安全性至关重要。
原文: APNIC Blog（2024-02-08）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog