真正持有数据的服务器
权威服务器是某个区域数据的最终来源：它持有区域文件，对区内记录给出带 AA（Authoritative Answer）标志的权威答案，也会给出明确的 NXDOMAIN。递归器只是帮助客户端去问权威并缓存结果。主（primary）与从（secondary）之间通过区域传送同步数据，SOA 里的 serial 是判断同步是否完成的依据。
基本信息
| 角色 | 持有区域数据并回答权威查询，应答带 AA 标志 |
|---|---|
| 主与从 | primary 可写，secondary 通过 AXFR 或 IXFR 拉取更新 |
| 同步判断 | 对比两台的 SOA serial，一致即视为同步完成 |
| 部署建议 | 至少两台并按 RFC 1034 的要求跨网络分布 |
| 常见拒绝 | REFUSED 表示对方不负责该区或 ACL 拒绝 |
判断要点
| 现象 | 含义 |
|---|---|
| flags 含 aa | 这是权威答案，可直接采信 |
| REFUSED | 对方不负责该区或访问控制拒绝 |
| SERVFAIL | 区域加载失败或 DNSSEC 校验异常 |
| serial 主从不一致 | 区域传送延迟或中断 |
| 答案 TTL 极小 | 权威侧配置了很短的有效期 |
识别权威与对比主从
识别权威与对比主从
dig @ns1.example.com www.example.com A +noall +comments | grep -i flags # 看是否有 aa
dig @ns1.example.com example.com SOA +short # 取主库 serial
dig @ns2.example.com example.com SOA +short # 与从库 serial 对比
dig +trace www.example.com | tail -5 # 观察委派链末端落到哪台权威
dig example.com NS +short # 列出该区的全部权威典型使用场景
- 确认解析异常的根因在权威侧还是递归缓存：直接问权威最直观
- 主从同步巡检：批量比对 serial，及时发现同步中断
- 域名交接时验证新权威是否已被上级委派指向
- DNSSEC 排障：权威需正确返回 RRSIG 与 NSEC 等相关记录
单台权威宕机就会让部分用户解析失败：客户端与递归器在权威列表中选择，任一不可用都会造成概率性失败，因此权威至少要两台并跨网络部署。
权威的 serial 采用序列号算术比较：直接从一个大数字改回小数字会被判定为「更旧」，需要用合理的递增或遵循序列号回绕规则。