2019年是加密DNS的一年。在长时间内，大规模DNS解析平台的结构和工作原理似乎已经确立，但浏览器中DNS-over-HTTPS（DoH）协议的部署提出了为消费者提供DNS的新方法，并挑战了许多持续的做法。然而，与DoH相关的冲突部分似乎源于对DNS是什么以及其目的的不同理解。例如，Mozilla公开声称DNS不是互联网上适当的网络监控和控制表面——这一观点被ISP和政府以不同的理由大声质疑。人们经常相互交谈，很难理解对方的观点。在我看来，这是由于人们在心中对DNS有着非常不同的用例、需求和甚至概念化，这导致了误解。那么，我们今天真的了解DNS是什么吗？定义DNS取决于你问谁。没有RFC对“DNS”及其目的有明确的最终定义。创始标准RFC 1034描述了它，但没有定义它。即使是最近的一些“术语”RFC也没有提供明确的答案。一般来说，人们似乎都同意DNS将名称映射到IP地址，并且在被要求描述它时，大多数人都会说“一个分布式数据库”。确实，DNS支持多个应用程序——不仅仅是原始的名称到IP地址的转换——它们明确使用它作为一个易于访问的、分布式的、快速且非常可靠的数据库。例如，所有电子邮件身份验证协议都将在DNS中以TXT记录的形式存储一些信息，DNS解析用于查询数据库并检索验证传入消息所需的信息。DNS作为数据库似乎是DoH的设计师，尤其是提出早期部署模型的人心中的概念。他们的部署模型基于更改用户一直在使用的解析器，假设新的解析器在查询时将提供相同的响应。毕竟，如果DNS是一个分布式数据库，无论你查询哪个解析器，你应该得到相同的回复。然而，问题在于，至少在过去十年中，这不是对多个基于DNS的实践和服务的真实情况。如今，有多个基于DNS的实践和服务依赖于特定的解析器被使用，以及不同的解析器将对相同的查询和相同的用户提供不同的回复。例如，许多企业网络，为了安全和内部网络服务，依赖于企业内部连接的用户将使用特定的解析器这一事实。
DNS的定义与作用
DNS（域名系统）是一个将域名（如www.example.com）映射到IP地址（如192.0.2.1）的系统。它是一个分布式数据库，用于将人类可读的域名转换为机器可读的IP地址，以便网络设备可以相互通信。DNS不仅支持名称到IP地址的转换，还支持多种应用程序，如电子邮件身份验证、负载均衡和内容分发。
DoH协议与DNS作为数据库
DNS-over-HTTPS（DoH）协议是一种新的DNS查询方式，它通过HTTPS协议加密DNS查询和响应，以提高安全性。DoH的设计师认为DNS应该作为一个分布式数据库，无论用户查询哪个解析器，都应该得到相同的回复。然而，现实情况是，许多DNS使用案例依赖于特定解析器的使用，以及不同解析器对相同查询提供不同回复的原则。
DNS在网络安全中的应用
DNS在网络安全中扮演着重要角色。企业网络通常依赖于特定的解析器来提供安全服务，如阻止恶意网站和防止DNS劫持。DoH的部署可能会影响这些安全措施，因为不同的解析器可能会提供不同的响应。
结尾：对于运维和网络工程师来说，了解DNS的真正含义和它在网络安全中的作用至关重要。随着DoH等新技术的出现，工程师需要更新他们的知识，以确保网络的安全和高效运行。
原文: APNIC Blog（2020-01-09）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog