DNS掃盲系列之八:關(guān)于域名解析的授權
首先是兩個(gè)相關(guān)的概念：
域名授權： 指定誰(shuí)是該域名的權威DNS，即由誰(shuí)負責解析該域名（由NS記錄操作完成）。
權威DNS: 特指對特定域名具有權威發(fā)布能力的DNS；互聯(lián)網(wǎng)上域名（域名記錄）解析結果的原出處。 www.2cto.com
目前域名解析授權狀況：
目前在互聯(lián)網(wǎng)上域名解析授權大體上是誰(shuí)出售域名就把域名的權威DNS授權給誰(shuí)并由其提供域名的權威DNS來(lái)完成域名解析工作，如購買(mǎi)了新網(wǎng)域名默認就是由新網(wǎng)的權威DNS（nsx.xinnetdns.com、nsx.xinnet.cn）負責所售域名解析:
[root@test root]#dig @a.gtld-servers.net xinnet.com ns
;; ANSWER SECTION:
xinnet.com. 172800 IN NS ns.xinnet.cn.
xinnet.com. 172800 IN NS ns.xinnetdns.com.
xinnet.com. 172800 IN NS ns2.xinnet.cn.
xinnet.com. 172800 IN NS ns2.xinnetdns.com.
域名解析授權是怎么實(shí)現的：
域名解析授權是個(gè)樹(shù)狀的，從上而下的分層體系，簡(jiǎn)圖如下：
首先“.”DNS把COM/NET/CN/ORG/TV等等域名按后綴的不同分別授權給不同的DNS，以利于分別管理。如COM/NET域名被授權給了如下幾個(gè)權威DNS。
這里不難想像要修改COM/NET的授權DNS要到“.”DNS上去操作才能完成。
[root@test root]#dig com. ns
;; ANSWER SECTION:
com. 96045 IN NS d.gtld-servers.net.
com. 96045 IN NS g.gtld-servers.net.
com. 96045 IN NS b.gtld-servers.net.
com. 96045 IN NS k.gtld-servers.net.
com. 96045 IN NS f.gtld-servers.net.
com. 96045 IN NS l.gtld-servers.net.
com. 96045 IN NS j.gtld-servers.net.
com. 96045 IN NS a.gtld-servers.net.
com. 96045 IN NS i.gtld-servers.net.
com. 96045 IN NS m.gtld-servers.net.
com. 96045 IN NS e.gtld-servers.net.
com. 96045 IN NS h.gtld-servers.net.
com. 96045 IN NS c.gtld-servers.net.
同理可知，要指定或修改ABC.COM的權威DNS要去頂級DNS上操作。通常來(lái)說(shuō)一般的域名所有者是無(wú)權登錄頂級DNS進(jìn)行操作的。只能通過(guò)域名提供商（如新網(wǎng)，萬(wàn)網(wǎng)等）的專(zhuān)用接口（位于域名商的域名管理平臺上）來(lái)間接操作頂級DNS上的記錄。
以ABC.COM為例簡(jiǎn)要說(shuō)明怎么指定自己的權威DNS，假設ABC.COM是在新網(wǎng)購買(mǎi)，那么默認該域名的權威DNS就是nsx.xinnetdns.com、nsx.xinnet.cn。這時(shí)候要修改默認權威DNS。首先登錄新網(wǎng)的域名管理后臺，找到修改域名DNS頁(yè)面即可完成操作（詳細過(guò)程這里有：
http://www.2cto.com/net/201210/161851.html）。操作完成后要驗證一下是否修改成功：
www.2cto.com
[root@test root]#dig @a.gtld-servers.net abc.com ns
;; ANSWER SECTION:
abc.com. 172800 IN NS ns1.ai-dns.com.
abc.com. 172800 IN NS ns2.ai-dns.com.
abc.com. 172800 IN NS ns3.ai-dns.com.
這里我們把ABC.COM授權給了nsx.ai-dns.com了。
關(guān)于域名權威DNS的再授權：
以ABC.COM為例，再授權是指在nsx.ai-dns.com上面再次指定該域名的權威DNS，再授權的意義有這么幾個(gè)：
1. 擴展現有的權威DNS數量，如現有ns1,ns2,ns3.ai-dns.com共三臺DNS，現在要增加到4臺，則可以在原3臺DNS上abc.com的ZONE文件內增加
ns4這個(gè)NS記錄。
原來(lái)的ZONE內容：
$TTL 2d
$ORIGIN abc.com.
@ 3600 IN SOA ns1.ai-dns.com. root.ai-dns.com.(
2288091841 1h 600 1w 900 )
@ 2d IN NS ns1.ai-dns.com.
@ 2d IN NS ns2.ai-dns.com.
@ 2d IN NS ns3.ai-dns.com.
www.2cto.com
增加ns4這個(gè)NS記錄后為：
$TTL 2d
$ORIGIN abc.com.
@ 3600 IN SOA ns1.ai-dns.com. root.ai-dns.com.(
2288091841 1h 600 1w 900 )
@ 2d IN NS ns1.ai-dns.com.
@ 2d IN NS ns2.ai-dns.com.
@ 2d IN NS ns3.ai-dns.com.
@ 2d IN NS ns4.ai-dns.com.
當然增加NS4的操作也可以在頂級DNS上完成，不再贅述。
2. 把權威DNS重新授權給其他DNS，如把原來(lái)的權威DNS（nsx.ai-dns.com）重新授權給別人（nsx.ddd.com）。操作過(guò)程同上，不再贅述。
再授權可能存在的潛在問(wèn)題：
再授權無(wú)疑使得域名解析授權變得更靈活，但是存在以下潛在的隱患。當原授權的權威DNS（即在頂級DNS定義的權威DNS）故障時(shí)，這時(shí)再授權的D
NS將無(wú)法工作，導致域名無(wú)法解析（這是由域名解析過(guò)程是自上而下的這個(gè)特性決定的）。同時(shí)也增加了安全隱患。
附加部分1：慎用WHOIS來(lái)查看域名權威DNS。
對于域名的Whois
數據庫是由域名銷(xiāo)售商控制的，即每個(gè)域名銷(xiāo)售商都有自己的WHOIS服務(wù)器，這些服務(wù)器用來(lái)存儲自身出售的域名信息，如域名所有人，聯(lián)系方法，到期時(shí)間等內容。WHOIS信息中顯示的域名當前權威DNS信息很可能沒(méi)有及時(shí)與域名實(shí)際的權威DNS信息同步而導致錯誤的判斷。
www.2cto.com
附加部分2：“.”根DNS是怎么被授權的？
由于“.”根DNS所處域名解析體系的頂端，無(wú)法按照常規方法對其授權。到目前為止其授權方法是把所有“.”DNS列表存放在一個(gè)文本文件內（自己授權給自己），名字通常為root.hint內容如下（部分節選）：
. 3600000 IN NS A.ROOT-SERVERS.NET.
A.ROOT-SERVERS.NET. 3600000 A 198.41.0.4
. 3600000 NS B.ROOT-SERVERS.NET.
B.ROOT-SERVERS.NET. 3600000 A 192.228.79.201
