什么是 DNS Forwarders：转发解析器的工作原理与配置

定义

DNS Forwarders 转发解析器是指一类特殊的 DNS 服务器配置：当本机 DNS 服务器收到无法直接回答的递归查询时，不直接向根服务器发起迭代解析，而是把查询请求转发给上游指定的另一台 DNS 服务器，由上游服务器完成解析后把结果返回。这种被指定接收转发请求的上游服务器，就是转发目标（forwarder）。转发解析器本身并不执行完整的递归解析流程，而是扮演“中转站”的角色，把解析负担交给上游，从而减少本机对外部网络的查询流量，也便于统一管理出口解析策略。

工作原理

要理解转发解析器，需要先区分两种解析路径。默认情况下，一台递归 DNS 服务器会从根服务器开始，逐级向下查询顶级域、权威服务器，最终拿到目标域名的 IP 地址，这一过程称为迭代解析，其完整链路可参考域名解析 DNS 全过程详解。而启用转发后，本机服务器不再走这条完整链路，而是把查询直接交给上游转发目标。

转发解析器的工作流程通常包含以下步骤：

1. 客户端向本机 DNS 服务器发起域名解析请求。
2. 本机服务器检查本地缓存，若命中则直接返回结果。
3. 若缓存未命中，本机服务器把查询转发给配置好的上游转发目标。
4. 上游服务器完成解析后，把结果返回给本机服务器。
5. 本机服务器把结果缓存并返回给客户端。

转发解析器与直连根服务器解析的主要区别在于查询路径。直连解析由本机服务器独立完成全部迭代过程，转发解析则把这一过程外包给上游。两者在最终结果上一致，但转发模式会减少本机对外部权威服务器的直接查询次数，同时把解析策略集中到上游统一管理。

需要说明的是，转发解析器并不会改变 DNS 查询的最终语义。无论走直连还是转发，客户端拿到的都是同一份权威解析结果，区别只在于查询请求在网络上经过的路径。转发模式把大量重复的递归查询集中到少数上游服务器，既降低了本机对外部权威服务器的访问频率，也把解析出口收敛到可控范围，便于网络管理员统一审计和管控。

转发解析器的类型

根据转发目标的不同，转发解析器可以划分为两类：

• 递归转发：上游服务器本身是递归解析器，能够独立完成完整解析。这是最常见的配置方式，例如把查询转发给公共 DNS 服务。
• 条件转发：只对特定域名或特定区域（zone）的查询进行转发，其余查询仍由本机正常解析。条件转发常用于企业内部，把内部域名解析交给内网 DNS，把外部域名交给公共 DNS。

从使用场景上看，递归转发适合希望统一出口解析策略的部署，条件转发则适合需要按域名区分解析路径的复杂网络环境。

应用场景

转发解析器在多种网络环境中都有实际用途：

• 减少出口查询流量：在带宽受限或需要控制对外查询数量的场景下，转发模式把大量重复查询交给上游，本机只保留缓存，降低对外部权威服务器的访问频率。关于 DNS 缓存与 TTL 的关系，可参考DNS TTL 与缓存时间。
• 统一解析策略：企业或机构可以通过指定转发目标，统一所有内部客户端的解析出口，便于审计和管控。
• 提升解析速度：当上游转发目标具备更优的网络路径或更大的缓存时，转发解析可以缩短部分域名的解析响应时间。
• 隔离内部与外部解析：通过条件转发，把内部域名交给内网 DNS，把外部域名交给公共 DNS，避免内部解析请求泄漏到公网。

常见误区

关于转发解析器，存在一些常见的理解偏差：

• 转发解析器不等于缓存服务器。虽然两者都会缓存结果，但转发解析器的核心职责是把查询转交给上游，而缓存服务器侧重本地缓存命中。
• 转发解析器不会降低解析正确性。只要上游转发目标配置正确，转发解析与直连解析返回的结果一致，只是查询路径不同。
• 条件转发不是“部分缓存”。条件转发按域名区分转发目标，与缓存命中与否无关。
• 转发解析器不会引入额外的安全风险。只要上游转发目标可信，转发解析与直连解析在安全性上等价；真正需要关注的是转发目标本身是否可靠，以及是否启用了 DNSSEC 校验来防止解析结果被篡改。

配置示例

以常见的 BIND 配置为例，启用转发解析器只需在配置文件中声明转发目标。以下是一个递归转发的简化配置片段：

options {
    forwarders {
        8.8.8.8;
        1.1.1.1;
    };
    forward only;
};

其中 forwarders 指定上游转发目标，forward only 表示本机只转发、不自行迭代解析。若希望本机在转发失败时回退到直连解析，可改用 forward first。

条件转发的配置则按区域声明，例如把内部域名 example.internal 的查询转发给内网 DNS：

zone "example.internal" {
    type forward;
    forwarders { 10.0.0.53; };
};

在实际部署中，选择递归转发还是条件转发，取决于网络规模和解析需求。小型网络通常只需配置一个公共 DNS 作为递归转发目标即可满足需求；而大型企业网络往往同时存在内部域名和外部域名，需要借助条件转发把两类查询分流到不同的解析路径，避免内部解析请求外泄，也减少对公共 DNS 的依赖。

参考资料

• IETF RFC 1034：域名概念与设施，定义了 DNS 的基本解析模型。
• IETF RFC 1035：域名实现与规范，描述了 DNS 消息格式与查询流程。
• BIND 官方文档：关于 forwarders 与条件转发的配置说明。
• 域名解析 DNS 全过程详解：从 URL 到 IP 的每一步
• 一文看懂 SSL 证书的作用与种类