怎么解决远端dns服务递归？

1、您作为客户端，无法使用远端的递归DNS服务。

2、您作为服务器管理员，需要管理或修复一个开放的递归DNS服务。

我会从这两个角度分别提供详细的排查和解决方案。

场景一：您作为客户端，无法使用远端递归DNS服务

当您的电脑、手机或家庭路由器无法通过设定的DNS服务器（如114.114.114.114, 8.8.8.8）解析域名时，可以按照以下步骤排查。

排查步骤与解决方案：

1、基础检查

检查网络连通性首先确保您的设备可以正常访问互联网，尝试 ping 一个已知的IP地址（如ping 8.8.8.8），如果IP能通但DNS解析失败，问题很可能就出在DNS上。

检查DNS配置确认您设备的DNS服务器地址设置是否正确，是在网卡属性中手动指定的，还是由路由器通过DHCP下发的？

2、使用nslookup或dig命令进行诊断

这是最关键的一步，可以精准定位问题。

在Windows（使用nslookup）:

        # 1. 测试默认DNS服务器
        nslookup www.google.com
        # 2. 指定一个公共DNS服务器进行测试，例如Cloudflare的1.1.1.1
        nslookup www.google.com 1.1.1.1

在Linux/macOS（使用dig或nslookup）:

        # 使用dig测试默认DNS
        dig www.google.com
        # 指定DNS服务器测试
        dig www.google.com @1.1.1.1

结果分析：

情况A使用默认DNS超时或无响应，但指定1.1.1.1 或8.8.8.8 后正常。

您原先使用的远端DNS服务器（可能是ISP提供的）出现了故障或网络连接不佳。

解决方案将您的设备或路由器的DNS服务器更改为可靠的公共DNS，

Cloudflare:1.1.1.1 和1.0.0.1

Google:8.8.8.8 和8.8.4.4

OpenDNS:208.67.222.222 和208.67.220.220

情况B使用任何公共DNS服务器都无法解析。

可能是您的网络出口（如防火墙、运营商）拦截了UDP 53端口（DNS协议端口）的流量。

解决方案

* 尝试使用DNS over HTTPS (DoH) 或DNS over TLS (DoT)，现代操作系统（如Windows 11, macOS, 以及许多Linux发行版）和浏览器（如Chrome, Firefox）都支持，这会将DNS查询加密并通过HTTPS/TLS端口（443）发送，可以有效绕过对53端口的封锁。

* 检查您网络中的安全软件或企业防火墙策略。

情况C可以解析域名，但返回的IP地址不正确或指向一个陌生的地址。

可能是DNS劫持或DNS污染。

解决方案同样，切换到受信任的公共DNS（如Cloudflare或Google）并启用DoH/DoT，因为加密DNS很难被劫持。

3、清除本地DNS缓存

您的操作系统可能会缓存错误的DNS记录，需要清除。

Windows: 在CMD中运行ipconfig /flushdns

macOS: 运行sudo killall -HUP mDNSResponder

Linux (取决于发行版): 运行sudo systemd-resolve --flush-caches 或sudo /etc/init.d/nscd restart

4、检查 hosts 文件

检查C:\Windows\System32\drivers\etc\hosts (Windows) 或/etc/hosts (Linux/macOS) 文件，看是否有手动设置的、错误的域名映射。

场景二：您作为管理员，需要管理一个开放的递归DNS服务

如果您运行了一个DNS服务器（例如使用BIND, Unbound, dnsmasq），并且它被配置为对公众开放的递归解析器，那么您可能会遇到安全和管理问题。

主要问题与解决方案：

1、DNS放大攻击（DNS Amplification Attack）

问题攻击者伪造受害者的IP地址，向您的开放递归DNS发送小的查询请求，而您的服务器会向受害者返回一个非常大的响应报文，从而耗光受害者的带宽。

解决方案严格限制递归查询的源IP。

在BIND中 (named.conf.options)

            options {
                // 仅允许本地网络和受信任的客户端进行递归查询
                allow-recursion { 192.168.1.0/24; 127.0.0.1; };
                // 或者，完全关闭递归，仅提供权威解析
                // recursion no;
            };

在Unbound中 (unbound.conf)

            server:
                # 限制访问权限
                access-control: 192.168.1.0/24 allow
                access-control: 0.0.0.0/0 deny

2、信息泄露

问题开放的递归DNS会泄露客户端的查询记录，这可能涉及隐私问题。

解决方案同上，通过allow-recursion 或access-control 限制客户端范围。

3、资源耗尽

问题大量外部递归查询会消耗服务器的CPU、内存和网络资源，影响为您的权威域提供服务的能力。

解决方案

* 实施速率限制（Rate Limiting）。

在BIND中

            options {
                // 每秒每个IP最多允许10次查询，超过则丢弃
                rate-limit { responses-per-second 10; };
            };

在Unbound中

            server:
                # 每秒每个IP最多允许10次查询
                ratelimit: 10

对于自建DNS服务器，除非有特定需求，否则不应将其配置为对互联网开放的递归解析器，最佳实践是：

仅对内部网络提供递归服务。

对外部互联网仅提供权威域名解析服务（如果您的服务器托管了域名）。

如果必须对特定外部用户提供递归服务，请使用ACL（访问控制列表） 精确控制来源IP，并考虑使用DNS over TLS/HTTPS 来提供更安全的服务。

要“解决远端DNS服务递归”问题，请先明确您的角色：

如果你是普通用户按照场景一的步骤，从更换公共DNS、使用DoH/DoT、清除缓存等方面入手。

如果你是服务器管理员按照场景二的建议，检查您的DNS服务器配置，严格限制递归查询的客户端范围，并启用速率限制，以防止被滥用。

文章摘自：https://idc.huochengrm.cn/dns/19992.html