区域传送是什么
区域传送分全量（AXFR）与增量（IXFR）两种，基于 TCP 承载，用于主从解析器之间同步记录；正常场景下只允许授权来源发起。抓包里如果出现未授权来源的区域传送请求，就应当立即关注，对应的流量形态是大流量、多记录、同一区域名的连续响应，与常规的单条问答形态完全不同。排查第一步是确认来源地址是否在授权清单里，其次是检查访问控制配置是否过宽。区域传送一旦泄露，等同于把整个区域的记录清单交出去。
基本信息
| 协议依据 | RFC 5936（AXFR）、RFC 1995（IXFR） |
|---|---|
| 抓包字段 | dns.qry.type 为 252 是 AXFR、251 是 IXFR |
| 承载方式 | TCP，表现为长连接上的多条记录响应 |
| 合规前提 | 仅授权来源可以发起 |
| 主要风险 | 整个区域的记录清单外流 |
典型使用场景
- 授权核查：确认发起传送的来源是否在允许清单之中
- 配置审计：检查解析器是否限制了区域传送的来源范围
- 异常流量发现：大流量的域名解析传输通常都不是常规查询
- 变更验证：主从同步调整后确认传送行为符合预期
- 安全监测：把未授权的传送请求纳入告警规则
过滤与核对
过滤与核对
dns.qry.type == 252 # AXFR 全量传送
dns.qry.type == 251 # IXFR 增量传送
tcp.port == 53 # 区域传送基于 TCP
# 结合来源地址判断是否落在授权范围内传送类型与核对要点
| 类型 | 承载与形态 | 核对要点 |
|---|---|---|
| 常规查询 | 通常为 UDP 53 单条问答 | 不属于传送，无需按传送规则核对 |
| 全量传送 | TCP 53 长流、记录数量多 | 来源是否授权、记录数量是否异常 |
| 增量传送 | TCP 53，记录量相对小 | 同样需要核对来源，过滤条件与全量不同 |
授权传送通常限定到具体来源地址，核对时要看解析器配置里实际生效的允许清单，而不是只看查询本身是否成功返回。
主从同步期间出现传送属正常行为，判断是否异常的关键在于来源是否在授权范围内，以及发生时间是否符合同步周期。