区域传送是什么
区域传送是主从 DNS 同步数据的机制：主服务器把整个区域或其中发生变化的部分推送给从服务器。全量传送一次输出整份记录流，增量传送只传差异。两者都基于 TCP 53，因为需要可靠且有序的传输。它既是运维必备能力，也是常见的信息泄露点——只要对方允许，任何人一条命令就能拿走全部内部记录。
基本信息
| 传输层 | TCP 53 |
|---|---|
| 全量传送 | 整份区域记录，以 SOA 开头并再次以 SOA 结尾 |
| 增量传送 | 只传序列号变化带来的差异 |
| 触发条件 | 序列号变化后由主服务器发出通知 |
| 安全手段 | 来源地址限制配合密钥签名 |
| 配置位置 | BIND 里的 allow-transfer 等指令 |
合法测试与观察
合法测试与观察
dig @ns1.example.com example.com SOA +short # 先确认是权威服务器
dig @ns1.example.com example.com AXFR # 需已授权，否则应被拒绝
dig @ns1.example.com example.com IXFR=2026101201 # 请求增量传送
dig example.com AXFR +short | head -20 # 简化输出，便于快速核对两种传送方式对比
| 方式 | 传输内容 | 适用时机 |
|---|---|---|
| 全量传送 | 整个区域的记录流 | 首次同步、差异累积过多时 |
| 增量传送 | 序列号变化对应的差异 | 日常小幅变更 |
| 回退关系 | 增量不可用时回退到全量 | 由从服务器按情况决定 |
典型使用场景
- 新增从服务器：首次同步必然是全量传送
- 安全审计：检查是否对外开放了区域传送，避免内部记录泄露
- 迁移核对：把新老权威的输出逐条对比，确认记录没有遗漏
- 同步故障排查：确认端口连通性与来源授权是否匹配
- 演练与备份：定期导出区域内容作为配置留档
对外开放区域传送会泄露全部记录，包括测试环境、内部系统与历史遗留的子域名，攻击者据此可以画出相当完整的资产地图。正确配置是把来源地址限制到从服务器，必要时再加密钥签名，双保险；只靠改端口或藏记录名不算防护。