在技术面试中，DNS（Domain Name System，域名系统）相关问题经常出现在网络基础或系统设计环节。面试官往往不会要求你背诵RFC文档，但会通过具体场景考察你对解析流程、记录类型、缓存机制以及安全风险的真正理解。本文从面试视角出发，梳理DNS高频考点，并给出可以直接用于回答的思路。
DNS解析流程中的高频问题
当面试官问“从浏览器输入域名到页面加载，DNS做了什么”时，一个结构清晰的回答应该按照本地缓存、递归解析、迭代查询三个层次展开。首先，浏览器会检查自身缓存，然后调用操作系统解析器，操作系统可能读取本地hosts文件或使用系统DNS缓存。如果本地没有结果，解析器会向配置的递归DNS服务器发起查询，递归服务器通常由运营商或公共DNS提供。
递归服务器收到查询后，如果缓存中没有记录，它会从根服务器开始迭代查询。根服务器返回顶级域服务器地址，顶级域服务器返回权威DNS服务器地址，最后权威服务器给出该域名的A记录或CNAME记录。回答时需要强调递归查询和迭代查询的区别：客户端向递归服务器发起的是递归查询，要求对方给出最终结果；而递归服务器向根、顶级域、权威服务器发起的通常是迭代查询，对方只返回下一跳地址，由递归服务器继续询问。这个区别是面试官判断候选人是否真正理解DNS的关键点。
如果面试官追问细节，可以说明DNS报文使用UDP 53端口，超过512字节时会走TCP或EDNS0扩展。还可以提到dig命令的trace模式能直观看到迭代过程：
dig +trace www.ippipp.com
该命令会从根服务器开始逐级输出查询路径，帮助理解各级服务器的角色。面试时如果能结合这个命令说明迭代过程，会比单纯背诵流程更有说服力。
常见DNS记录类型及面试答法
DNS记录类型是面试必问内容。最基础的是A记录，将域名映射到IPv4地址；AAAA记录映射IPv6地址。CNAME记录用于将域名指向另一个域名，常见于CDN或子域名场景，但不能把CNAME记录配置在裸域上，因为裸域还需要MX、NS等其他记录，CNAME会与之冲突。MX记录指定邮件服务器，可以设置多个并配置优先级，数字越小优先级越高。NS记录标识该域名的权威DNS服务器，SOA记录则包含区域版本号、刷新时间等管理信息。
TXT记录常用于SPF、DKIM、DMARC等邮件验证，也可以用于域名所有权验证。PTR记录是反向解析，根据IP查域名。SRV记录用于指定特定服务的主机与端口，比如SIP、XMPP或Kubernetes服务发现。CAA记录限制哪些证书颁发机构可以为该域名签发证书。面试时不需要把所有记录背出来，但要能说清楚A、CNAME、MX、NS、TXT的用途，并能举出实际应用场景。
下面是一个BIND区域文件片段，展示了常见记录的实际配置：
$ORIGIN ippipp.com.
@ IN SOA ns1.ippipp.com. admin.ippipp.com. (
2024010101 ; serial
3600 ; refresh
600 ; retry
1209600 ; expire
3600 ) ; minimum
@ IN NS ns1.ippipp.com.
@ IN NS ns2.ippipp.com.
@ IN A 192.0.2.10
www IN A 192.0.2.10
mail IN A 192.0.2.20
@ IN MX 10 mail.ippipp.com.
@ IN TXT "v=spf1 mx -all"
面试官可能追问CNAME与A记录的区别，可以回答CNAME不直接指向IP，而是指向另一个域名，需要额外一次解析，而A记录直接返回IP。如果追问MX优先级，要说明优先级用于邮件服务器选择，低值优先，当主服务器不可达时会尝试次优先级服务器。
DNS缓存、TTL与性能优化
DNS缓存分布在多个层次：浏览器缓存、操作系统缓存、递归解析器缓存，部分环境还有本地DNS转发器缓存。每一条DNS记录都带有TTL（Time To Live，生存时间），单位是秒，告诉各级缓存该记录可以保留多久。TTL设置会直接影响解析速度和变更生效时间。短TTL可以让切换IP更快生效，适合需要灵活调度的业务；长TTL能减少查询量，降低权威服务器压力，但变更后需要较长时间才能全网生效。
面试中常问“为什么修改DNS后没有立即生效”，标准答案就是缓存和TTL的影响。即使权威服务器已经更新，本地递归服务器或用户浏览器仍可能在使用旧缓存，直到TTL过期。要强制刷新，终端用户可以执行ipconfig /flushdns（Windows）或sudo systemd-resolve --flush-caches（部分Linux发行版），但无法强制其他递归服务器刷新。有些递归服务器为了性能会设置最小TTL或最大TTL覆盖原始值，这也可能造成不一致。
还可以提到负缓存（Negative Caching），当域名解析返回NXDOMAIN时，递归服务器也会缓存这个否定结果，缓存时间由SOA记录中的minimum字段或单独的负TTL控制。排查问题时需要同时考虑正向缓存和负缓存。下面的命令可以查看当前解析结果的TTL：
dig ippipp.com A +noall +answer ippipp.com. 300 IN A 192.0.2.10
输出中300就是该记录剩余TTL秒数。如果TTL已经很小但客户端仍然使用旧值，需要检查本地hosts文件是否被修改，Windows路径为C:\Windows\System32\drivers\etc\hosts，Linux路径为/etc/hosts。
DNS安全与常见故障排查思路
DNS安全面试题通常围绕劫持、缓存投毒、DDoS反射放大和DNSSEC展开。DNS劫持是指在用户不知情的情况下，将域名解析到恶意服务器，可能发生在本地hosts文件、路由器、运营商递归服务器等环节。缓存投毒是攻击者向递归服务器伪造响应，试图将错误记录写入缓存。传统DNS查询使用UDP且无加密无签名，攻击者可以通过伪造源地址和事务ID来欺骗递归服务器。
防御措施包括部署DNSSEC，通过对DNS记录进行数字签名来验证响应完整性；启用DNS over HTTPS（DoH）或DNS over TLS（DoT）加密客户端到递归服务器之间的查询；限制递归服务器只响应内网客户端；定期检查hosts文件和路由器配置。另外DNS反射放大攻击是利用开放递归服务器，将小查询放大为大量响应流量打到目标，防御方法是关闭不必要的递归服务并启用响应速率限制。
故障排查时，常用的命令包括dig、nslookup、host以及抓包工具。下面是一个典型排查顺序：先确认本地缓存是否正确，再通过dig @8.8.8.8 ippipp.com指定公共DNS验证外部解析，如果公共DNS正常而本地不正确，问题出在本地递归服务器或运营商。如果两者都不正确，需要联系域名管理员检查权威服务器。还可以使用dig +dnssec检查DNSSEC验证结果：
dig +dnssec ippipp.com A
如果返回中包含AD标志或RRSIG记录，说明DNSSEC验证通过。面试中能够按照这个思路描述排查步骤，会展现出较好的工程经验。