0.17 域名与 DNS：怎么靠名字找到 IP
第〇篇【零基础预科】免费。你能在地址栏输入 gysec.top 而不是一串数字，靠的就是 DNS。
一、为什么既要有域名又要有 IP
- IP 地址（211.159.169.173）机器好用，但人记不住、也可能变化；
- 域名（gysec.top）好记、有品牌意义；
- DNS（Domain Name System，域名系统） 就是那本"电话簿"：把域名翻译成 IP。
把它想成手机通讯录：你记的是"张三"，真正拨号时手机用的是号码。IP 就是那个号码，域名就是"张三"这个名字。为什么要多此一举？一是号码又长又没规律，人脑记不住；二是服务器的 IP 可能变——迁机房、换云厂商都可能换 IP，但你对外的名字不用跟着改，只要更新这本"电话簿"里的对应关系就行。你平时感觉不到 DNS，是因为它每一步都在毫秒级替你把名字换成了地址。
二、域名的层级
以 www.gysec.top 为例，从右往左读：
www . gysec . top
↑ ↑ ↑
主机名 二级域名 顶级域名(TLD)| 部分 | 含义 |
|---|---|
.top | 顶级域（TLD，类似 .com/.cn/.org） |
gysec | 你注册的二级域名（主体） |
www | 主机记录/子域（也可以是 mail、analytics） |
gysec.top叫裸域/根域（@）；www.gysec.top是常见子域；你还加过analytics的记录。
顺便澄清一个新手误区：www 并不是什么神奇的固定部分，它只是你随手起的一个主机名，和 mail、analytics 地位完全平等——之所以到处都见 www，纯粹是历史习惯。你完全可以让 blog.gysec.top、test.gysec.top 指向不同的服务器，它们在 DNS 里就是一条条独立记录。至于顶级域，.com 偏商业、.cn 是中国、.org 偏非营利，像 .top 这类是后来开放的新通用后缀，价格便宜，个人做实验常用。
三、DNS 解析的过程
当你第一次访问 gysec.top，大致这样：
拿到 IP 后，浏览器才开始真正连接服务器。结果会在各级缓存一段时间（由 TTL 决定），所以改解析后通常要等几分钟到几十分钟才全网生效。
说个你一定会遇到的现象：你刚在解析后台把域名指向新服务器，立刻拿手机访问，看到的可能还是老页面。别急着怀疑自己改错了——你的电脑、浏览器、运营商的递归解析器手里都存着上一次的结果，在 TTL 到期之前它们会一直用旧的。这时可以本地改一下 hosts 文件临时验证、或换个公共 DNS 刷一遍，不用干等全网生效。记住："明明改了却没生效"，十有八九是缓存，不是配置错。
你可能会问：每次访问一个新网站都要这么层层问一遍，岂不是很慢？正因为慢，才有了缓存：你电脑、操作系统、浏览器都有自己的小缓存，运营商的递归解析器也缓存着一大堆结果。第一次查 gysec.top 要走完整流程，之后一段时间内大家都直接拿缓存里的 IP，所以日常你感觉不到这一圈问路。真正负责替你去"逐级问路"的，就是你本机网络设置里那个"DNS 服务器地址"——通常是运营商自动分配的，或你手动换成的公共 DNS（比如 114.114.114.114、8.8.8.8）。
四、常见 DNS 记录
| 记录 | 作用 | 例子 |
|---|---|---|
| A | 域名 → IPv4 | gysec.top → 211.159.169.173 |
| AAAA | 域名 → IPv6 | — |
| CNAME | 域名 → 另一域名 | www → gysec.top |
| MX | 邮件服务器 | — |
| TXT | 任意文本（验证/SPF） | 域名所有权验证 |
你上线时添加的"主机记录 @ / www，记录类型 A，记录值 211.159.169.173"，就是在权威解析处把域名指向服务器。
几条记录的分工顺便说清：A 是直接指到一个 IP；CNAME 是"指到另一个域名"，常用于接 CDN——你自己不知道 CDN 的真实 IP，就让 CNAME 把域名指给 CDN 的域名，CDN 再替你指到它的机器。MX 只跟收发邮件有关，你不搭邮件服务器就不用碰。TXT 最常见的用途是"证明这个域名是你的"：平台让你加一条特定内容的 TXT 记录，能加上就证明你掌控着解析权，常见于网站归属验证和防邮件伪造。
五、安全视角
- DNS 劫持/缓存投毒：把域名解析到假 IP，用户以为在访问真站；
- DNS 污染：网络中途返回错误结果；
- DNS 隧道：把数据藏在 DNS 查询里外传，是内网隐蔽通信手段；
你可能会问：查询一个域名而已，怎么能拿来偷传数据？原理是：很多企业内网的防火墙不许你随便往外连，但 DNS 查询通常放行，不然员工就上不了网。攻击者就把要偷偷外传的数据，一段段塞进域名查询里——比如把数据编码成
abc123.某个控制域名这种奇怪的子域名发出去，外面的服务器收到这些"查询"就能把数据拼回来。流量长得完全像正常 DNS，却在悄悄搬运东西，这就是为什么 DNS 不能只当"小透明"看。
- 防护上：解析商加锁、关键域名多验证、监控解析变更；HTTPS 也能在被指向假站时因证书不匹配而报警。
DNS 劫持最阴的地方在于：你输入的网址一个字都没错，页面长得也几乎一样，但因为解析被动了手脚，流量其实去了一个假服务器。比如在不安全的公共 Wi-Fi 下，你打开网银域名，DNS 却把你引到一个高仿钓鱼站——地址栏里域名看着对，内容却是假的。这也是为什么光看"地址栏里的域名"不够，必须配合 HTTPS 的证书校验：假站就算把域名仿得一模一样，也拿不到真站的合法证书，浏览器会直接亮出红色警告。
六、本篇小结
- 域名给人看、IP 给机器用，DNS 把域名解析成 IP。
- 域名从右向左分层：顶级域、二级域、主机记录。
- 解析经缓存→递归器→根→顶级域→权威服务器，结果有缓存、改后需等待生效。
- 常见记录 A/AAAA/CNAME/MX/TXT；安全上警惕劫持、污染与隧道。
下一篇 0.18 拆解你每天都在地址栏看到的那一长串——URL。