区域传送尝试
区域传送尝试
dig AXFR example.com @ns1.example.com
dig AXFR example.com @ns1.example.com +tcp # 明确走 TCP（AXFR 本身即 TCP）
# 成功：输出整个 zone；被拒：Transfer failed / REFUSED仅对自有域名与获授权的服务器执行；无条件允许 AXFR 会把全部主机名暴露给任意人。
本包目录（235 条）
排查流程与方法36 条连通性与链路检测54 条
DNS 与解析排查46 条
- dig 基本用法与输出结构判读
- dig 记录类型速查：A/AAAA/CNAME/MX/TXT/NS/SOA/SRV/CAA
- DNS 响应码判读：NOERROR / NXDOMAIN / SERVFAIL / REFUSED
- dig +short：只取结果值（脚本友好）
- dig +trace：从根开始逐层溯源解析
- SERVFAIL 排查路径
- TTL 与缓存：『改了记录不生效』排查
- dig @server：指定 DNS 服务器对比查询
- resolv.conf 配置与解析超时行为
- DNS 慢导致全局变慢：识别与量化
- nslookup 基础用法（跨平台可用）
- Windows DNS 缓存：查看、刷新与刷新后的验证
- dig +time/+tries：控制超时与重试
- Resolve-DnsName：Windows 现代 DNS 查询
- dig +tcp：强制 TCP 查询与截断（TC）判读
- 公共 DNS 选择与对比测试
- dig 查询耗时与统计（Query time）
- DNS 端口连通性测试（UDP/TCP 53）
- hosts 文件与 nsswitch 解析顺序
- dig -x 反向解析（PTR）检查
- dig +dnssec：验证 DNSSEC 与 RRSIG
- resolvectl：systemd-resolved 状态与查询
- CDN CNAME 链排查
- dig +noall +answer：干净的标准答案输出
- NODATA 与 NXDOMAIN 的区别与排查
- SOA 序列号核对：主从同步与『改了不生效』
- DNS 劫持/污染判断与取证
- 负缓存：NXDOMAIN 也会被缓存
- dig +norecurse：递归查询与缓存命中排查
- 内外网解析不一致（Split Horizon）排查
- 应用侧验证：strace/getent 看真实解析路径
- EDNS 与 +bufsize：UDP 响应大小控制
- SRV 记录查询：服务定位（LDAP/SIP/AD 场景）
- 权威服务器无响应：从解析器视角取证
- DNSSEC 验证失败定位流程
- nslookup 交互模式：set 命令与调试输出
- DoT / DoH 排查：853 与加密解析
- DNS 服务器日志排查（query log 思路）
- dig AXFR：区域传送检查（DNS 配置核对）
- zone 文件语法检查（named-checkzone）
- dig +subnet：EDNS Client Subnet（ECS）查询
- host 命令：极简 DNS 查询
- 开放解析器检查：递归 ACL 与滥用判断
- dig CH TXT：查询 DNS 服务器自身版本信息
- 僵尸委派（Lame Delegation）识别
- dig ANY 查询与 RFC 8482 限制
dig AXFR：区域传送检查（DNS 配置核对）
向权威服务器请求整区数据：既可用于主从同步核对，也是安全审计项（不应随便允许区域传送）；失败时区分『被拒』与『传送中断』。
易错点
- 用 UDP 查询 AXFR：协议要求 TCP，工具可能直接报错，别误判为被拒
- 把公网上允许 AXFR 当『正常配置』，它是明确的中危发现
数据来源与参考
- RFC 5936：DNS Zone Transfer Protocol（AXFR）
- BIND 9 dig 手册