| 服务 | DNS（BIND/PowerDNS/dnsmasq/Unbound） |
|---|---|
| 协议 | UDP 53 查询 / TCP 53 大响应与 AXFR |
| 用途 | 域名 → IP 解析、内网名称服务 |
| 安全等级 | 权威可对外；递归仅限内网 |
UDP 查询轻量快速；响应超过 512 字节或进行区域传送时切到 TCP。对外权威服务应拒绝 AXFR，内网递归应限制来源并开启速率限制。
常用排查命令
常用排查命令
dig example.com A +short
dig @8.8.8.8 example.com MX
dig example.com AXFR @ns1.example.com # 应被拒绝对公网开放递归查询，会同时带来缓存投毒面与 DNS 放大攻击风险；权威与递归职责应分离部署。