| 递归查询 | RD 标志置 1，解析器负责追到底并返回最终结果 |
|---|---|
| 迭代查询 | 返回 NS 委派或 CNAME，不给最终答案，由提问者继续 |
| 方向 | 客户端→递归器用递归；递归器→根/TLD/权威用迭代 |
观察两种模式
观察两种模式
dig +norecurse @a.root-servers.net com NS # 迭代：只给你 com 的 NS
dig @8.8.8.8 www.example.com # 递归：一步到位（RD=1 默认）递归器被滥用可做放大攻击（ANY/大 TXT）：对外提供递归服务必须做 ACL，只允许内网源地址。