DNS¶

nameserver 8.8.8.8

虽然在绝大多数场景下，用户都不需要使用公共的 DNS 服务器，因为：

- 在家用场景，运营商通过 DHCP 提供的 DNS 一般来说能够让各网站（特别是使用 CDN 的站点）解析到离自己最近的节点，提升访问速度。
- 在服务器配置场景下，一般来说所属组织会有自己的 DNS 服务器，直接使用即可。

不过你可能会看到一些配置中使用公共的 DNS 服务器（包括一部分软件中会配置自动回退到这些服务器），出于隐私等需求考虑，一些用户也会主动选择使用这些服务器。以下介绍一些常见的 DNS 服务器以及其 IPv4 地址，以供参考（不代表推荐意见）：

- [Google Public DNS](https://developers.google.cn/speed/public-dns/docs/using?hl=zh-cn)：8.8.8.8、8.8.4.4
- [Cloudflare 1.1.1.1](https://www.cloudflare.com/learning/dns/what-is-1.1.1.1/)：1.1.1.1、1.0.0.1
- [Quad9](https://quad9.net/)：9.9.9.9、149.112.112.112
- [114DNS](https://www.114dns.com/)：114.114.114.114、114.114.115.115
- [阿里云公共 DNS](https://www.aliyun.com/activity/dns/pubdns_launch)：223.5.5.5、223.6.6.6
- [DNSPod Public DNS](https://www.dnspod.cn/products/publicdns)：119.29.29.29
- [百度公共 DNS](https://dudns.baidu.com/index.html)：180.76.76.76
- [CNNIC SDNS 递归云解析](https://www.cnnic.cn/n4/2022/0829/c32-10038.html)：1.2.4.8、210.2.4.8

// 获取 example.com 解析的 IP
struct hostent host_1 = gethostbyname("example.com");
// 地址在 he->h_addr_list 列表中

// 获取 1.1.1.1 对应的域名
const char *ip_str = "1.1.1.1";
struct in_addr ip;
inet_aton(ip_str, &ip);
struct hostent host_2 = gethostbyaddr(&ip, sizeof(ip), AF_INET);
// 域名在 he->h_name 中

很多人对 DNS 的理解仅限于「从域名查 IP」（A 记录和 AAAA 记录），但 DNS 也支持「从 IP 查域名」（PTR 记录）。例如对上面 1.1.1.1 的域名的查询，可以先构造出 `1.1.1.1.in-addr.arpa` 这个域名，然后查询这个域名的 PTR 记录。

PTR 记录由 IP 的所有者（ISP/云服务商等）负责维护。

// 获取 example.com 解析的 IP
struct addrinfo hints, *res;
memset(&hints, 0, sizeof(hints));
hints.ai_family = AF_UNSPEC; // IPv4 + IPv6
hints.ai_socktype = SOCK_STREAM;
int ret_1 = getaddrinfo("example.com", NULL, &hints, &res);
// 地址在 res 链表中

// 获取 1.1.1.1 对应的域名
struct sockaddr_in sa;
char hostname[NI_MAXHOST];
memset(&sa, 0, sizeof(sa));
sa.sin_family = AF_INET;
sa.sin_port = htons(53);
inet_pton(AF_INET, "1.1.1.1", &sa.sin_addr);
int ret_2 = getnameinfo((struct sockaddr *)&sa, sizeof(sa),
                        hostname, sizeof(hostname), NULL, 0, 0);
// 域名在 hostname 中

尽管 `getaddrinfo()` 可以解决不少问题，并且跨平台兼容性也不错，但是如果我们需要更底层的 DNS 查询功能（例如查询 A/AAAA 以外的记录）的时候，上面的 API 就不太够用了。而 libresolv（包含在 glibc 中）则提供了更底层的 [`res_nquery()`/`res_query()`][resolver.3] 等接口，便于需要直接构造 DNS 报文进行查询的程序使用。

musl 不支持 `res_nquery()`，但是支持 `res_query()`。

libresolv 在其他平台上可能有不同的行为，可参考：[getaddrinfo sucks. everything else is much worse](https://valentin.gosu.se/blog/2025/02/getaddrinfo-sucks-everything-else-is-much-worse)。

bcc 提供的基于 eBPF 的 [gethostlatency](https://github.com/iovisor/bcc/blob/master/tools/gethostlatency.py) 工具可以用来获取使用 C 运行时库的 DNS 解析延迟：

```console
$ sudo gethostlatency
TIME     PID     COMM             LATms      HOST
02:59:28 10680   ThreadPoolForeg  166.831    main.vscode-cdn.net
```

有关 eBPF 的介绍，可参考[问题调试部分](../debug.md#ebpf)。

socket(AF_UNIX, SOCK_STREAM|SOCK_CLOEXEC|SOCK_NONBLOCK, 0) = 3
connect(3, {sa_family=AF_UNIX, sun_path="/var/run/nscd/socket"}, 110) = -1 ENOENT (No such file or directory)
close(3)                                = 0
socket(AF_UNIX, SOCK_STREAM|SOCK_CLOEXEC|SOCK_NONBLOCK, 0) = 3
connect(3, {sa_family=AF_UNIX, sun_path="/var/run/nscd/socket"}, 110) = -1 ENOENT (No such file or directory)
close(3)                                = 0

passwd:         files
group:          files
shadow:         files
gshadow:        files

hosts:          files dns
networks:       files

protocols:      db files
services:       db files
ethers:         db files
rpc:            db files

netgroup:       nis

hosts:          files myhostname resolve [!UNAVAIL=return] dns

getent -s files hosts example.com

NSS 模块可能会返回以下几种状态：

- `SUCCESS`：解析成功。
- `NOTFOUND`：没有找到对应的记录。
- `UNAVAIL`：模块（永久）不可用。
- `TRYAGAIN`：模块（暂时）不可用，可以重试。

默认配置相当于 `[SUCCESS=return !SUCCESS=continue]`。除了 `return` 和 `continue` 之外，还有 `merge`：

```text
group:          files [SUCCESS=merge] sss
```

这样的话，如果某用户在本地（`files`）属于组 A，在 sssd（`sss`）中属于组 B，那么最终该用户就会同时属于组 A 和组 B。

一个约定俗成的做法是，将主机名放在 `/etc/hostname` 文件，而在 `/etc/hosts` 中添加相关的映射：

```text
127.0.0.1 myhost
```

不过，如果 `/etc/hosts` 里面忘写了/忘改了对应的条目，那么就可能会出现非预期的行为。例如，如果忘记添加 `localhost`，那么有些程序就可能会因为无法解析 `localhost` 而出现问题。

systemd-hostnamed 服务则负责管理系统的主机名——静态的主机名（static hostname）仍然在 `/etc/hostname` 中，用户可读的主机名（pretty hostname，比如说 "Xiao Ming's Computer" 或者 "我的电脑" 这种有空格、特殊字符，甚至汉字的名字）等存储在 `/etc/machine-info` 中，同时其也会记录从网络（例如 DHCP）获取的主机名（transient hostname）。而 `myhostname` 模块就是 systemd-hostnamed 提供的 NSS 模块，确保系统主机名总是可以被正确解析，请看下面的例子：

```console
$ getent -s myhostname hosts localhost
::1             localhost
$ # hostnamed 能获取网络接口的地址
$ getent -s myhostname hosts myhost
fd36:cccc:bbbb:aaaa:aaaa:aaaa:aaaa:aaaa myhost
2001:da8:d800:aaaa:aaaa:aaaa:aaaa:aaaa myhost
fe80::aaaa:aaaa:aaaa:aaaa:aaaa myhost
fe80::bbbb:bbbb:bbbb:bbbb:bbbb myhost
$ getent -s myhostname hosts 127.0.0.1
127.0.0.1       localhost
$ # hostnamed 中，127.0.0.2 对应主机名，127.0.0.1 对应 localhost
$ getent -s myhostname hosts 127.0.0.2
127.0.0.2       myhost
```

如果有尝试对访问网络（使用了 NSS 的）C 程序进行静态链接（`-static`）的话，那么你可能会看到：

```
/usr/bin/ld: /tmp/cchbUcHT.o: in function `main':
example.c:(.text+0x2a): warning: Using 'gethostbyname' in statically linked applications requires at runtime the shared libraries from the glibc version used for linking
```

这是因为 NSS 是动态加载（`dlopen`）的，如果静态链接之后扔到别的机器上，那么对应的 NSS 模块可能就不存在或者不兼容，从而导致程序无法运行。

precedence ::ffff:0:0/96  100

glibc 的 `getaddrinfo()` 在参数为 `AF_UNSPEC` 时，总是会同时发送 A 和 AAAA 请求（即使设置了 `net.ipv6.conf.all.disable_ipv6`）。同样，上面的 `gai.conf` 配置也无法阻止 glibc 发送 AAAA 请求（只是在获取到两者之后优先选择 IPv4）。

在 glibc 2.36 之后，glibc 提供了 `no-aaaa` 选项，可以在 `resolv.conf` 中添加。而对更老版本的机器，则可能需要考虑使用 [nss-dns4only](https://github.com/ossobv/nss-dns4only) 这种第三方的 NSS 模块来实现。

# 程序 1 在 eth0 接口上注册 DNS 服务器
cat <<EOF | resolvconf -a eth0
nameserver 192.168.1.1
EOF

# 程序 2 在 vpn0 接口上注册 DNS 服务器
cat <<EOF | resolvconf -a vpn0
nameserver 10.1.1.1
EOF

# 程序 2 退出
resolvconf -d vpn0

每条 DNS 记录都有 TTL 时间（秒为单位），标志下游的服务器可以缓存该记录的时间。例如：

```console
$ dig www.example.com
（省略）
;; ANSWER SECTION:
www.example.com.        237     IN      A       104.18.26.120
www.example.com.        237     IN      A       104.18.27.120
（省略）
```

这里的 237 就是获取到的 TTL 秒数。显然，如果 TTL 设置较长，那么每次更新之后，其他机器就可能需要更长的时间获取到修改后的记录；而如果 TTL 太短，那么就可能会给 DNS 服务器（特别是权威 DNS 服务器）带来较大的压力。

为了减小网络开销，不仅成功的查询需要缓存，失败的也需要。这被称为 Negative cache。一些常见的情况：

- 某个域名只有 A 记录，但是没有 AAAA 记录（或者反过来）
- 在 `search` 列表中有多个域名，或者 `ndots` 的值比较大，那么就可能会有多个查询尝试，其中一些查询会找不到记录

但是没有记录的话，客户端怎么知道要缓存多长时间呢？这个信息就由 SOA 记录来提供。每个 DNS zone 只有一个 SOA 记录，包含一些基础的参数，其中最后一个参数就是 Negative cache TTL。在查询到由某个 DNS zone 负责，但是不存在记录的域名时，DNS 服务器一般会返回 SOA 记录，类似如下：

```console
$ dig AAAA ipv4.mirrors.ustc.edu.cn  # IPv4-only 的域名，没有 AAAA
（省略）
;; AUTHORITY SECTION:
mirrors.ustc.edu.cn.    60      IN      SOA     ns-a.ustclug.org. lug.ustc.edu.cn. 2026022401 3600 600 604800 60
（省略）
```

这里的 negative cache TTL 就是 60 秒（一般来说，会取 SOA 本体的 TTL 和宣告的 negative TTL 的最小值）。

而如果 DNS 服务器本身查询失败（返回 SERVFAIL），那么也就没有 SOA 记录。[resolved 对此默认缓存 10 秒](https://github.com/systemd/systemd/pull/17814)。

与 systemd 上游设置不同，Ubuntu 的 systemd-resolved 包的 `Cache` 参数默认值为 `no-negative`，而不是 `yes`。

Docker 的默认 bridge 网络不会使用其内置的 DNS 服务器，而是直接使用主机的 `/etc/resolv.conf` 配置放进容器中。假如 Docker 发现 `nameserver` 全都是本地地址，那么就会 fallback 到 8.8.8.8/8.8.4.4 上，绕过 dnsmasq 的缓存功能（Docker 对 systemd-resolved 做了特殊处理，可以从 `/run/systemd/resolve/resolv.conf` 获取到实际上游的 DNS 地址并设置，但是缓存也就失效了）。

因此，如果希望 Docker 容器使用到缓存功能，那么请考虑以下方法之一：

- 不使用默认 bridge 网络，使用 `docker network create` 创建自定义的 bridge 网络。
- 让 dnsmasq 同时在 `docker0` 上监听，并在 `/etc/resolv.conf` 中配置 `nameserver` 为 `docker0` 上的地址。