11B022 中国移动互联网DNS设备技术规范

中国移动通信企业标准

中国移动互联网D N S 设备

技术规范

T e c h n i c a l S p e c i f i c a t i o n f o r D o m a i n N a m e S e r v e r o f C M N e t 版本号：1.0.0 中国移动通信集团公司 发布

2011-12-30发布

2011-12-30实施

QB-B-022-2011

目录

1.范围 (1)

2.规范性引用文件 (1)

3.术语、定义和缩略语 (2)

3.1 术语和定义 (2)

3.2 缩略语 (5)

4.域名系统概述 (5)

4.1域名服务体系概述 (5)

4.2中国移动域名系统概述 (6)

5.系统结构 (7)

5.1系统结构图 (7)

5.1.1 网元功能描述 (7)

5.1.2 接口描述 (8)

5.2系统功能描述 (8)

5.2.1 权威域名服务器 (8)

5.2.2 递归域名服务器 (9)

5.3组网结构 (9)

6.服务器功能要求 (11)

6.1 权威服务器功能要求 (11)

6.2 递归服务器功能要求 (12)

7.域名解析流程 (14)

7.1中国移动注册域名解析流程 (14)

7.2非中国移动注册域名解析流程 (16)

8.网管要求 (17)

9.数据分析及智能挖掘要求（可选） (18)

10.可靠性及扩展性要求 (19)

10.1 可靠性要求 (19)

10.2 扩展性要求要求 (20)

11.安全要求 (20)

11.1 安全域划分 (20)

11.2设备安全功能和配置要求 (21)

11.2.1 DNSSEC安全要求 (21)

11.2.2 服务器配置安全性要求 (23)

11.3安全防护要求 (24)

11.3.1 攻击防护要求 (24)

11.3.2 访问控制要求 (25)

11.4安全管理要求(安全审计) (26)

12.性能要求 (26)

13.接口要求 (27)

14.软硬件要求 (27)

14.1 软件要求 (27)

14.2 硬件要求 (27)

15.编制历史 (29)

附录A DNS解析日志格式要求 (29)

附录B DNS关键指标统计报表 (30)

附录C全球根服务器及顶级域部署情况简介 (34)

附录D缓存投毒攻击可选防护手段 (36)

前言

本标准对DNS系统需要规定的功能与组网提出要求，是其入网所需要遵从的纲领性技术文件。

本标准主要包括以下几方面内容：系统结构、服务器功能要求、域名解析流程、网管要求、数据分析及智能挖掘要求、可靠性及扩展性、安全要求、性能要求、特色要求、接口要求、软硬件要求等。

本标准的附录A和B为标准性附录，附录C和D为资料性附录。

本标准由中移技﹝2011﹞363号印发。

本标准由中国移动通信研究院提出，集团公司技术部归口。

本标准起草单位：中国移动通信研究院

本标准主要起草人：张娟、王静、任兰芳、胡淑军、周琳琅、樊川、何伟、姜欣等

1.范围

本要求适用于中国移动通信集团公司所属CMNet网络的DNS系统，对包括省网DNS、集团统建DNS等DNS服务器提出相关技术规定，主要面向中国移动WLAN业务、2G/3G/LTE个人业务及家庭宽带业务的域名解析请求，不包括IMS DNS等专用DNS系统。

本标准原则上在中国移动通信集团公司内部使用，用于在相关设备招标选型和工程建设时为集团公司和省公司提供技术依据。

2.规范性引用文件

下列标准所包含的条文，通过在本标准中引用而成为本标准的条文。本标准出版时，所示版本均为有效。所有标准都会被修订，使用本标准的各方应探讨使用下列标准最新版本的可能性。

3.术语、定义和缩略语

3.1 术语和定义

下列术语、定义和缩略语适用于本标准：

（1）域名系统 Domain Name System

域名系统是一种将域名映射为某些预定义类型资源记录（Resource Record）的分布式互联网服务系统，网络中域名服务器间通过相互协作，实现将域名（或者其他的查询对象）最终解析到相应的资源记录。

域名系统的名字空间是一个分层次的（Hierachical)树状结构。在资源记录中存储了包含IP地址等与域名相关的多种信息。这些信息分布在与名字空间对应的各级域名服务器上。从而实现对域名属性信息的分布式检索。

域名的服务系统从功能上可以分成两个部分，包括权威服务器（Authoritative Servers)、递归服务器（Recursive Servers）。

（2）名字空间 Name Space

域名系统的名字空间是一个树状结构（如图3-1所示），每个节点对应于相应的资源集合（这个资源集合可能为空），域名系统不区别树内节点和叶子节点，统称为节点（Node)。每个节点有一个标记（Label)，这个标记的长度不超过63字节。父节点不同的节点可以使用相同的标记。只有根节点（Root)的标记长度为0（空标记）。

（3）域名 Domain Name

域名是域名系统名字空间中，从当前节点到根节点的路径上所有节点标记的点分顺序连接，如图3-1中对应的域名https://www.360docs.net/doc/fe10052779.html,.。

图3-1 域名系统名字空间结构图

（4）域 Domain

域是指域名系统名字空间中的一个子集，也就是树形结构名字空间中的一棵子树。这个子树根节点的域名就是该域的名字，如图3-1中灰色圆圈所示的域“https://www.360docs.net/doc/fe10052779.html,"。DNS树上的每一个节点都有一个标识(Label)，根节点的标识是“空”（即长度为0)，其他节点的标识的长度

在1到63字节之间。一个节点的域名是由从这个节点到根节点的路径上的所有标识从左到右顺序排列组成的，标识之间用“．”分隔。

（5）顶级域 Top Level Domain

顶级域是指域名系统名字空间中根节点下最顶层的域。顶级域分为国家及地区代码顶级域（Country Code Top Level Domain, ccTLD)、通用类别顶级域（Generic Top Level Domain, gTLD）和和行业类别顶级域（sponsored Top Level Domain, sTLD）等三种不同类型。如图3-1最上方是DNS树形结构中唯一的一个根（Root)，用点号“．”表示。根的下一级称为顶级域（Top Level Domain, TLD)，也称一级域。

顶级域的下级就是二级域（Second Level Domain, SLD)，二级域的下级就是三级域，依次类推。每个域都是其上级域的子域（Sub Domain）其中“cn”为中国顶级域，"com"、"net"、"arpa”均为通用类别顶级域。

域名系统的分布式管理是通过逐级授权实现的。授权（Delegation) ，就是指将子域的管理授权给某一个特定的组织或机构，其记录信息就直接由该组织或者机构所管理的权威服务器进行存储和解析。域名系统里的NS记录，就是用来做授权的，向下授权。

（6）资源记录 Resource Record

资源记录是在域名系统中用于存储与域名相关的属性信息，简称RR。每个域名对应的记录可能为空或者多条。

域名的资源记录由名字（Name)、类型（Type)、种类（Class)、生存时间（TTL)、记录数据长度（Rdlength)、记录数据（Rdata）等字段组成。

（7）名字服务器Name Server

名字服务器又称为域名服务器。用于存储域名和资源记录及其他相关信息并负责处理用户的查询请求。

名字服务器包括权威服务器（Authoriative Server）和递归服务器（Recursive Server）两种。这两者之间最大的区别就是，权威服务器通常不提供递归解析（Recursive Resolution）服务，它只负责维护和保存它所拥有权威的域的资源记录信息，并且接受递归服务器的查询请求；而递归（缓存）服务器则通常不会维护或者管理任何域的资源记录数据，它只负责接收用户（解析器）的查询，并且通过查找缓存或者向包括根在内的权威名字服务器发出查询从而获得查询结果。

（8）授权 Delegation

域名系统的分布式管理是通过逐级授权实现的。授权，就是指将子域的管理授权给某一个特定的组织或机构，其记录信息就直接由该组织或者机构所管理的权威服务器进行存储和解析。

授权的概念是专门针对权威服务器的管理体系定义的。

（9）区 Zone

区是域名系统名字空间中面向管理的基本单元，通常是若干个域的集合。

（10）权威服务器 Authoritative Server

权威服务器，是指对于某个或者多个区具有权威的服务器，权威服务器保存着其所拥有权威的区的原始域名资源记录信息。

（11）区文件 Zone File

某个区内的域名和资源记录及相关的权威起始信息（Start of Authority, SOA）按照一定的格式进行组合，从而构成存储这些信息的区文件。其中，权威起始信息包含了区的管理员电子邮件地址（Mail Address)、序列号（Serial)、更新周期（Refresh)、重试周期（Retry）和过期时间（Expire）等信息。

（12）主服务器 Master Server

主服务器是被配置成区数据发布源的权威服务器。

（13）辅服务器 Slave Server

辅服务器是通过区传送协议来获取区数据的权威服务器。

（14）区传送 Zone Transfer

区传送是指将区的资源记录内容从主服务器向辅服务器传送的过程，用于实现主、辅服务器间的数据同步。

（15）递归服务器 Recursive Server

递归服务器也被称为本地域名服务器和缓存服务器。它负责接受用户端（解析器）发送的请求，然后通过向各级权威服务器发出查询请求获得用户需要的查询结果，最后返回给用户端的解析器。

递归服务器可以将权威服务器返回的各种记录进行缓存从而减少查询次数和提高查询效率，因而也被称为缓存服务器。

（16）解析器 Resolver

解析器是向名字服务器发送域名解析请求，并且从名字服务器返回的响应消息中提取所需信息的程序。解析器软件通常集成到操作系统或者应用软件中。

（17）区签名密钥 zone signing key

对区文件进行DNSSEC签名或认证所使用的密钥对。通常，相对于KSK, ZSK比较短，具有较短的有效期，但是具有较高的签名效率。

（18）密钥签名密钥 key signing key

对权威域所有密钥对的公钥（DNSKEY资源记录集）进行DNSSEC签名或认证所使用的密钥对。通常，相对于ZSK, KSK比较长，具有较长的生存期，但签名效率较低。权威域只需要向上级权威域注册KSK生成的DS记录。

（19）信任锚 trust anch

在进行DNSSEC认证过程中，递归服务器可以直接信任的某一权威域。

（20）拒绝服务攻击

攻击使用大量的请求或是流量湮灭DNS服务器，使得DNS服务无法正常提供服务。递归攻击与反射攻击都属于拒绝服务攻击。

递归攻击：攻击者针对不存在的域名（或无法响应的域名）发送大量的递归查询请求，使递归服务器因得不到响应而重复多次查询，导致资源耗尽无法提供正常服务。

反射攻击：攻击者伪造一个合法的IP地址为源地址发送大量的DNS查询请求包，导致合法IP地址的主机收到大量的DNS响应包而导致资源耗尽。

（21）域名劫持

攻击者通过各种手段修改DNS服务器上域名记录的指向，达到劫持该域名的目地。（22）缓存投毒

攻击者通过猜测DNS解析过程中的报文序列号来伪造DNS权威服务器的应答，从而达到“污染”高速缓存中的记录的目的，即将错误的域名指向信息注入DNS服务器，最终导致受到污染的DNS服务器将对外提供错误的解析结果。

（23）缓存窥探

DNS缓存窥探是一个确定某一个资源记录是否存在于一个特定的DNS缓存中的过程。（24）DNS欺骗

DNS欺骗指攻击者通过先捕捉用户查询包，然后通过猜测序列号，假冒域名服务器返回查询地址使查询者收到虚假IP。

（25）非递归查询请求

DNS查询消息中明确标识不进行递归查询，而直接根据缓存中的记录返回查询结果。

3.2 缩略语

表3-1 缩略语列表

4.域名系统概述

4.1域名服务体系概述

域名服务是一种互联网应用层资源的寻址服务，是其他互联网络应用服务的基础。常见的互联网络应用服务有Web服务，电子邮件服务，FTP服务等，它们都是以域名服务为基础，来实现系统内部资源的寻址和定位的。

域名解析服务是以树型拓扑结构来定义的，由不同类别的域名解析服务提供机构负责不同级域名的解析服务。

整个域名服务系统从职能上看，包括两大类服务：即权威域名服务（Authoritative DNS)和递归域名服务（Recursive DNS)：

（1）权威域名服务是指拥有某个区的域名信息，并为该区提供域名解析的服务。权威域名服务通常面向的不是终端用户。

提供权威域名服务的设备即权威域名服务器，是指对于某个或者多个域具有授权的服务器，权威服务器保存着其所拥有授权的域的原始域名资源记录信息。简单来说，权威域名服务器中拥有域名和对应的IP 地址之间的原始数据并在接到请求后对外发布。

（2）递归域名服务则相反，它不针对某个区提供域名解析服务，而是直接面向终端用户，为终端用户提供递归的域名解析服务。

提供递归域名服务的设备即递归域名服务器，主要在广大的互联网用户侧（本地），它负责接受用户端（解析器）发送的请求，然后通过向各级权威域名服务器发出查询请求获得用户需要的查询结果，最后返回给用户端的解析器。递归域名服务器可以将权威域名服务器返回的各种记录进行缓存从而减少查询次数和提高查询效率。

4.2中国移动域名系统概述

中国移动授权域名服务体系是全球域名体系的有机组成部分，同样遵循域名体系的树状架构。中国移动授权域名可分为如下两类：

● 集团公司统一申请注册的域名，各省域名为集团统一域名的下一级域名。 ● 各省自行申请注册的域名。

根域名服务系统

与移动骨干域名相关的com 和

net 一级授权域名服务系统

与各省注册域名相关的com 、cn 、net 等一级授权域名服务系统

骨干授权域名服务系统

省公司授权域名服务系统

注册域名授权

注册域名授权

二级域名授权

图4-1 中国移动授权域名服务体系

与此同时，中国移动DNS系统作为向大众提供互联网业务访问能力的基础设备，不仅需要对本网内授权域名解析，还要同时负责向用户提供非本网授权域名的递归解析能力，因此中国移动DNS系统需要同时具备权威DNS服务器及递归DNS服务器。

5.系统结构

5.1系统结构图

中国移动DNS系统作为向大众提供互联网业务访问能力的基础设备，不仅需要对本网内授权域名解析，还要同时负责向用户提供非本网授权域名的递归解析能力，因此中国移动DNS 系统需要同时具备权威DNS服务器及递归DNS服务器。

中国移动域名系统总体架构如下图所示。

图5-1 域名系统总体架构图

5.1.1 网元功能描述

（1）统一管理平台：对全网DNS进行统一监测与分析，主要包括：

●网管监测系统：实现对全网DNS运行指标的统一监测。

●数据挖掘系统：对DNS日志进行数据挖掘，提供全网用户行为分析能力。

（2）DNS服务节点：中国移动DNS服务节点包括集团统建DNS节点与省网自建DNS节点两类系统，从职能上看，两类系统均包含以下设备：

●权威服务器：指对于中国移动已申请的域具有授权的服务器，负责保存中国移动已

申请并获得授权的域的原始域名资源记录信息。

●递归服务器：负责接受用户端（解析器）发送的请求，然后通过向各级权威域名服

务器发出查询请求获得用户需要的查询结果，最后返回给用户端的解析器。

●日志存储服务器：独立于权威/递归服务器，用于存储DNS日志。

●网管监测系统：实现对DNS运行指标的网络监控。

5.1.2 接口描述

（1）IF1（链路接口）：该接口用于与CMNet进行连接，实现DNS统一管理平台及各DNS 服务节点与CMNet的互联。

（2）IF2（日志上传接口）：该接口用于通过分光/端口镜像的方式获取DNS日志，并保存至日志管理系统。

（3）IF3（网管监测接口）：该接口用于将DNS权威及递归服务器和网管监测系统互联，负责获取相关服务器的运行指标。

5.2系统功能描述

中国移动DNS服务器可分为省网自建DNS节点及集团统建DNS节点，从职能上看，两类系统均包含权威域名服务器和递归域名服务器。

5.2.1 权威域名服务器

权威域名服务器主要包含如下功能模块：

●权威域名配置管理模块：配置授权域名, 检查配置的格式、内容的正确性。并在错

误的情况下给出相应的提示。

●权威域名解析模块：加载配置文件中配置的授权域名，并在数据库中形成RR记录，

对外提供DNS请求的回答，面向的服务对象是递归域名服务器。其主要解析的对象

是集团以及省公司所各自拥有的授权域名。

●安全控制模块：主要对用户请求的合法性，以提高设备的安全性。

●网络管理模块：包括网管监测功能、用户管理功能和告警管理功能。

5.2.2 递归域名服务器

递归域名服务器主要包含如下功能模块：

●缓存模块：直接面向用户，用于存储迭代解析回来的数据，以减少DNS服务器的迭

代解析次数。数据在缓存中存在的时间，由迭代解析结果中的TTL值决定，当TTL

变为0时，从缓存中删除。

●迭代解析模块：迭代模块的功能是当缓存中不存在用户请求的域名记录时，向外部

的权威DNS服务器发出解析请求。在迭代解析过程中若权威服务器的返回值不是用

户需求的记录，则根据返回的信息进行进一步查询，直到得到用户请求域名对应的

记录为止。将解析的记录发送给用户。

●安全控制模块：主要对用户请求的合法性，以及收到的解析结果的合法性进行判断，

以提高设备的安全性。

●网络管理模块：包括网管监测功能、用户管理功能和告警管理功能。

考虑到性能及可扩展性等因素，在递归域名服务器数量较多时，可考虑物理上进行分离，即物理上采用不同的服务器分别实现迭代解析模块与缓存模块的功能。下文把递归域名服务器的两种不同设备架构分别称为缓存迭代合一架构、缓存迭代分离架构。

5.3组网结构

中国移动DNS服务器分为集团统建DNS节点与省网自建DNS节点两类系统，两类系统均通过标准DNS协议与外网进行通信。其中：

●权威服务器由集团和省网两级架构组成。

●递归服务器为扁平化架构，各省DNS节点负责为本省用户提供域名解析服务；集团

统建DNS节点负责集团统建业务的域名解析，并作为各省DNS节点的应急备份节点。

图5-2 中国移动域名系统逻辑组网图

集团及各省DNS 系统作为中国移动域名系统中的节点，分别向大众提供互联网业务访问能力，需通过CMNet 与互联网实现对接。其中骨干网DNS 节点部署于CMNet 骨干网中，并通过CMNet 骨干网交换机实现与CMNet 的对接；省网DNS 节点部署于CMNet 省网中，并通过CMNet 省网交换机实现与CMNet 的对接。

为避免单点故障，DNS 系统各节点和路由设置应符合“双节点双路由”原则。即各递归/权威服务器应双上联至CMNet 。

站点内组网可选择四层交换机或三层交换机两种组网方案，由于四层交换机性能存在瓶颈，当DNS 查询量较大时，应考虑选择三层交换机组网方案。

（1）站点内部采用四层交换机进行负载均衡，并通过VLAN 隔离服务器。 四层交换机组网方案如图5-4所示：

省网

DNS

图5-3 DNS 站点组网结构图（四层交换机组网方案）

（2）站点内部采用L3等价路由方式实现负载均衡，并通过VLAN 隔离服务器，以便进行广播抑制。与此同时，为避免权威服务器受到攻击，系统内应成对部署防火墙，用于提高权威服务器的安全性。

系统组网结构如图5-5所示：

省网

DNS

图5-4 DNS 站点组网结构图（三层交换机组网方案）

6. 服务器功能要求

6.1 权威服务器功能要求

为保证授权服务器提供稳定可靠的服务，权威服务器不应该提供递归服务。

NS 记录应该符合IETF RFC 1035的规定，其所指向的服务器为合法的主机名。权威服务器的IP 地址应该使用合法的互联网地址。并确保以任何互联网地址可以访问服务器的UDP 和 TCP 的53端口。

同一区的所有权威服务器在响应对NS 记录的请求时，应该返回相同的结果。

同一区的权威服务器的数量至少应为2台，负责提供省网范围内权威域名的解析服务，以确保解析服务的可靠性。

为同一区提供解析服务的多个权威服务器的IP 地址应该分布在不同的网络中，依照所需达到的服务水平，建议为：分布在不同的自治域内或者地理上尽量进行分布式部署。

作为域名系统的权威服务器，其实现必须符合表6-1中所列出的标准，具备权威服务器的基本功能。这主要包括：

l）能够处理来自整个互联网络或指定网络区间内的任意用户对中国移动授权域名的查询请求，且不应提供递归服务

2）支持对区文件的导入导出以及增删改

3）支持判断用户来源，并能够根据预定义策略返回域名解析结果

4）支持EDNS0，能够以UDP承载大于512字节的数据包

5）支持IPv6的AAAA记录的查询

6）支持IPv4/IPv6双栈

7）支持DNS安全协议扩展（DNSSEC）及DNSSEC旁路认证（DLV）

8）支持通过网络时间协议（NTP，见IETF RFC1305）进行时间同步

9）权威服务器设置泛解析，除指定域名外均指向www服务器

6.2 递归服务器功能要求

递归服务器也被称为本地域名服务器和缓存服务器。它负责接受用户端（解析器）发送的请求，然后通过向各级权威服务器发出查询请求获得用户需要的查询结果，最后返回给用户端的解析器。递归服务器可以将权威服务器返回的各种记录进行缓存从而减少查询次数和提高查询效率。

作为域名系统的递归服务器，其实现必须符合表6-1中所列出的标准，具备递归服务器的基本功能。这主要包括：

l）能够处理来自整个互联网络或指定网络区间内的任意域名查询请求

2）能够正确执行递归查询过程

3）能够向互联网络上任意权威域名服务器发送查询并接收结果

4）能够按照权威服务器返回的生存期（TTL）正确地进行域名数据缓存

5）支持DNS重定位功能，能够对域名解析结果中的IP地址进行判断，并能够根据预定义策略返回域名解析结果

6）支持对缓存的清除

7）支持EDNS0，能够以UDP承载大于512字节的数据包

8）支持IPv6的AAAA记录的查询

9）支持IPv4/IPv6双栈

10）支持DNS安全协议扩展（DNSSEC）及DNSSEC旁路认证（DLV）

11）支持通过网络时间协议（NTP，见IETF RFC1305）进行时间同步

12）域名数据同步是权威服务器上的域名数据更新后，递归服务器上缓存数据更新的过程。域名数据同步频率由TTL值决定，不建议出于减少数据流量等目的而自行人为延长域名数据的TTL值，但设备应具备对特定域名TTL值进行修改的能力

13）设备应支持快速域名拦截能力，作为应急辅助手段。即应支持一次下发对多台DNS 服务器的域名劫持的配置

表6-1 域名服务系统接口协议要求

递归服务器应具备DNS重定位功能，即本地递归域名服务器需要支持对权威域名服务器返回的解析结果与预先配置的IP地址段进行比对，并将解析结果进行重定位操作，以达到令网内用户优先访问网内内容源的目的。实现该功能需要对网内的递归域名服务器进行改造，目前来看实现方式有以下两种：

●排序方式

排序方式是通过将域名解析结果与预先配置的IP地址段进行比对后，将解析结果中落入指定的IP地址段的IP地址排序在前，同时保留其他IP地址，并排在落入指定IP地址段的IP 地址之后。具体要求如下：

（1）将解析结果与指定的IP地址段进行比较，在向用户返回解析结果时，将落入指定IP地址段的IP地址封装在回复报文的地址列表的前端，未落入指定IP地址段的IP地址排在后面。

（2）若解析结果中没有与指定的IP地址段相对应的IP地址，则直接回复给请求的用户。

（3）由于DNS存在轮询机制，要求递归域名服务器能够在收到用户的每一次查询后，均进行地址比对及排序操作。

（4）能够支持对应的IP地址段的可配置性，以适应用户网段的改变。

●筛选方式

筛选方式是通过将域名解析结果与预先配置的IP地址段进行比对后，将解析结果中的未落入指定的IP地址段的地址删除，仅留下预先配置的IP地址段内的地址并返回给用户。具体要求如下：

（1）DNS重定位方案的筛选方式是通过将域名解析结果与预先配置的IP地址段进行比对后，将解析结果中落入指定的IP地址段地址保留，同时删除其他地址。

（2）对于解析结果中没有落入指定的IP地址段地址的，则直接返回解析结果。

（3）由于DNS存在轮询机制，要求递归域名服务器能够在收到用户的每一次查询后，均进行地址比对及筛选操作。

（4）能够支持对应的IP地址段的可配置性，以适应用户网段的改变。

各省可根据本省的DNS实际支持情况，酌情选择DNS重定位方案。现网主流DNS软件（Bind）已支持通过sortlist语句实现上述排序方式，无需修改DNS软件源代码，实现相对简单，优选使用sortlist语句实现DNS重定位。

7.域名解析流程

中国移动域名系统能够提供的域名解析服务可分为如下两类：

●中国移动注册域名解析流程：

即通过集团统建权威DNS服务器及省网权威DNS服务器对中国移动已申请的域名进

行解析的流程，如https://www.360docs.net/doc/fe10052779.html,、https://www.360docs.net/doc/fe10052779.html,等。

●非中国移动注册域名解析流程：

即通过递归DNS服务器对非中国移动注册域名进行解析的流程。

7.1中国移动注册域名解析流程

中国移动注册域名解析流程可分为如下三大类：

（1）网内用户访问外省授权域名

（2）网内用户访问本省授权域名

（3）网外用户访问本网授权域名

下面以北京用户访问四川授权域名的场景为例，介绍场景一的域名解析流程，其域名解析流程如下图所示：

图7-1 中国移动注册域名解析流程

流程说明如下：

以北京移动用户访问四川移动为例，用户首先访问网内本省递归DNS，若该递归DNS服务器的缓存内有该域名记录则将解析结果直接发送给用户。若缓存内没有该域名的记录，则省授权DNS发起迭代解析。解析流程如下：

（1）省网递归DNS向根服务器发出解析请求，根服务器收到解析请求后返回给省网递归DNS一个能解析该域名的服务器地址，即.com域名服务器的IP。

（2）省网递归DNS接着向.com域名服务器发出解析请求，.com域名服务器收到解析请求后返回给省网递归DNS一个解析该地址的域名，即https://www.360docs.net/doc/fe10052779.html,。

（3）省网递归DNS解析https://www.360docs.net/doc/fe10052779.html,域名，如上两步所示，先向根服务器解析，再向.net 服务器解析，得到中国移动的集团权威dns服务器的IP。

（4）省网递归DNS向集团权威DNS服务器发出解析请求，集团权威DNS服务器收到解析请求后返回四川移动权威DNS服务器的IP地址。

（5）省网递归DNS向四川权威DNS服务器发出解析请求，四川权威DNS服务器收到解析请求后将用户要访问的服务器地址返回给北京省网递归DNS服务器。

（6）省网递归DNS将解析到的四川移动服务器的IP地址返回给用户。

对于场景二中，网内用户访问本省授权域名时，其流程类似于上述流程，主要区别在于用户最终将通过本网权威DNS服务器获取解析结果，而非四川权威DNS服务器。

对于场景三中，网外用户访问本网授权域名时，其流程类似于上述流程，主要区别在于用户首先访问外网DNS服务器，而非北京DNS服务器。

7.2非中国移动注册域名解析流程

非中国移动注册域名解析是指对本网授权域名以外的域名进行解析的流程，以访问https://www.360docs.net/doc/fe10052779.html,为例，其解析流程图如下：

图7-2 非中国移动注册域名解析流程

首先用户访问本地递归DNS服务器，本地递归DNS服务器收到用户的解析请求时，若缓存中存在该域名的记录，则直接将该域名对应的IP地址返回给用户。若缓存中没有记录，则DNS 服务器将进行迭代解析。

（1）本地递归DNS服务器向根服务器发出解析请求，根服务器将能解析该域名的.com 服务器地址返回本地递归DNS服务器。

（2）本地递归DNS服务器向.com服务器发出解析请求，.com服务器将能解析该域名的https://www.360docs.net/doc/fe10052779.html,服务器地址返回给本地递归DNS服务器。

（3）本地递归DNS服务器向https://www.360docs.net/doc/fe10052779.html,服务器发出解析请求，https://www.360docs.net/doc/fe10052779.html,服务器将该域名对应的IP地址返回给本地递归DNS服务器。

（4）本地递归DNS服务器将解析到的该域名的IP地址返回给用户。