权威服务器是保存 DNS 名称记录（包括 A、AAAA 和 CNAME）的服务器，简单地说，DNS 记录归它管。非权威服务器根据以前的域名查询来构建缓存文件。它不存放原始名称记录。我们平时使用的如腾讯 DNS （119.29.29.29）、114 DNS （114.114.114.114）均是非权威服务器，负责转发查询与缓存 DNS 记录。

在上一篇《网站安全的一点思考》探究的过程中，我们通过 Wireshark 抓包了解了 DNS 递归查询过程，概述如下：

查询时会携带期望得到的记录，如正常查询时会请求对应域名的 A 记录。

客户端会首先查询根域名服务器列表，并从中选择一个；此后，它向所有遇到的服务器查询 sunnysab.cn 所对应的 A 记录。根域名服务器自然不知道，于是返回了 cn 对应的名称服务器（NS 记录）a.dns.cn、b.dns.cn 等等；紧接着，它向 a.dns.cn 查询 sunnysab.cn 所对应 A 的记录，以此类推。

接第二条，如果我查询一个三级域名，如 a.b.example.com，就要看哪一级别的名称服务器存储了对应的记录。

看上去，权威服务器一般为该层级的 NS 记录，并被上一层域名所知。如，cn. 这一层级知晓 sunnysab.cn. 的 NS 记录并能向查询者返回它。其实，这是由域名注册商（domain name registrar）向域名注册管理局（也称注册局，domain name registry）登记的，且一般 TTL 较长。

那么，怎样自己搭建域名解析服务呢？

我们不妨通过抓包来回顾一下整个过程，以下的数据是我在完成配置后所截。由于数据包过多不便于截图，这里以文本方式引用抓包数据。其中，desktop.lan 是我的笔记本名称，dns.google 是 Google DNS （8.8.8.8）的名称，XiaoQiang.lan 是路由器的名称。路由器内的网段为 192.168.31.0/24。

实验时执行的命令为：

由于打开了 +trace 选项，dig 工具将尝试迭代查询过程。

+[no]trace

This option toggles tracing of the delegation path from the root name servers for the name being looked up. Tracing is disabled by default. When tracing is enabled, dig makes iterative queries to resolve the name being looked up. It follows referrals from the root servers, showing the answer from each server that was used to resolve the lookup.

If @server is also specified, it affects only the initial query for the root zone name servers.

+dnssec is also set when +trace is set, to better emulate the default queries from a name server.

抓包内容：

至此，经过 106 个 DNS 请求/响应，我们得到了 dorm.host.sunnysab.cn 最终的 IP 地址。

我使用的域名解析机构是 Dnspod。一个简单的思路是，在 Dnspod 中新建一条类型为 NS 的解析记录，如：

添加完成后，尝试使用 dig 命令检查效果：

嗯？后面没有了？？其实这时候我应该反应过来是 Dnspod 没有及时刷新缓存，将 DNS 服务器设为 8.8.8.8 后会变得正常，但是因为当时没有考虑到，走了些弯路。

找到一片知乎提问 如何为二级域名设置不同的NS服务器？ - 知乎 倒是有网友成功使用的例子，但是查看腾讯云（Dnspod）的 帮助文档，里面有这样的描述：

注意：

要授权的 DNS 服务器域名不能是私建的 DNS 服务器域名，必须是解析商的权威 DNS 服务器域名。

莫非腾讯云不允许我使用自己的 NS 服务器？观察到网友使用的 NS 服务器地址是阿里云和 dns.com 的 DNS 解析服务器，帮助文档上说的应该没错。 但是，腾讯云不会还维护了一份合法 DNS 名称服务器的列表吧？如果遇上个别小国家偏远的 DNS 提供商怎么办？做软件应该不会这么做的，可事实上直接添加 NS 记录的方法又用不了。

期间了解了一个 DNS 中常用的技术。设想这样的场景：我域名的权威名称服务器为 ns.sunnysab.cn，整个域名的解析任务都落在它身上，但是要获取它的地址，又需要它本身的配合。即，我需要向 ns 主机查询 ns 主机的地址——这将陷入一个循环。

胶水记录可以解决这个问题：它将被注册到上级 DNS 域名解析服务器中。当有范围内的 DNS 查询时，上级服务器会返回这些记录。胶水记录直接记录了主机名到 IP 地址的映射关系，以避免客户端陷入其中。此外，它还有减少递归查询次数，加快 DNS 递归查询的作用。

胶水记录在腾讯云中被称为 “自定义 DNS Host”，这个名称……我看了半天才理解……

按照文档的说法，“如果使用 DNS Host 来解析域名，必须在对应域名服务器上添加对应 A 记录（IP 地址保持一致）。”，但是实际操作时，不管我怎么试都没有在 DNS 响应中发现胶水记录，可能因为腾讯云向上级同步时间太长所致吧。遂放弃。

本节只是一个小小的尝试，与最终解决方案无关。

此时发现 dig +trace host.sunnysab.cn @8.8.8.8 （之前尝试时用的是 119.29.29.29）正常，可以返回 DNS 记录，dig www.host.sunnysab.cn 时会查询 host.sunnysab.cn 对应的 NS 记录并引导客户端向 sync.sunnysab.cn 查询 www.host.sunnysab.cn。怀疑之前可能是 119.29.29.29 缓存未刷新导致的同步问题。

Bind 是一款由互联网系统联盟/协会（Internet Systems Consortium）开发的 DNS 服务器软件，历史悠久，使用广泛，这里就用它了。

还有一款名为 PowerDNS 的产品也很不错，可以了解一下。由于我这里使用场景有限，就不引入庞然大物了。

使用 apt 命令搜索：

安装：

这里参考了 使用Bind9搭建权威DNS服务器 一文，区域文件如下：

完成后使用 named-checkzone 命令校验一下。

要想动态修改 DNS 记录，有三种方法：

考虑到与本篇主题无关，这里暂且略过，后续有机会再写吧。通过自己的 DNS 服务器，倒是可以自建一个动态域名解析的平台 😄

在 “瞎折腾” 的过程中，碰到了很多问题，所遇到的资料也较少，感谢素未谋面的网友提供的帮助。主要参考资料如下：

欢迎关注我的其它发布渠道