DNS 安全与加密解析

Kaminsky 攻击流程：
  1. 攻击者向解析器查询 a1.example.com（不存在）
  2. 解析器向 example.com 权威发问，等待应答
  3. 攻击者在该窗口内伪造海量应答，猜测 TxID + 源端口
  4. 命中则伪造 example.com 的 NS 记录（而非单条 A）
  5. 整个 example.com 的解析被劫持

缓解手段叠加：
  TxID 随机化        : 16 位
  源端口随机化        : 16 位（需解析器支持）
  0x20 大小写编码     : 每个字母 1 位，如 example → eXaMpLe
  合计猜测空间          : 32 位 + 大小写位数

验证链（. → com. → example.com.）：
  1. 信任锚：根区 KSK（解析器内置）
  2. 用根 KSK 验根 DNSKEY 的 RRSIG
  3. 用根 ZSK 验 com. 的 DS，得到 com. KSK 哈希
  4. 用 com. KSK 验 com. DNSKEY，再用 ZSK 验 example.com. DS
  5. 用 example.com. ZSK 验 www.example.com. 的 A 记录 RRSIG
  6. 全部通过 → 应答置 AD（Authentic Data）位

# 验证解析器是否做了 DNSSEC 验证（看 AD 标志）
dig +dnssec example.com @1.1.1.1
# flags: qr rd ra ad;  ← ad 表示已验证

# 逐级查看 DS 委派链
dig +trace +dnssec example.com

# 查看某区域的 DNSKEY（KSK/ZSK）
dig DNSKEY example.com +dnssec

# 强制不信任，观察是否 SERVFAIL
dig +cd example.com   # +cd = 关闭验证，用于对比

NSEC（明文枚举风险）：
  a.example.com NSEC c.example.com
  → 若查询 b.example.com，落在 a 与 c 之间即证明不存在
  → 攻击者遍历整条链即可枚举全部子域

NSEC3（哈希防枚举）：
  存 H(a).example.com 而非 a.example.com
  → 需额外计算，无法直接读出子域明文

DoT 报文封装：
  [ TLS Record ]
    [ 2 字节长度前缀 ][ DNS 报文 ]
  - 长度前缀解决 TCP 流式传输的报文边界
  - 端口：853
  - 可复用 TLS 会话恢复与 ALPN（dot）

DoH 请求形态：
  GET  /dns-query?dns=<base64url(报文)>   Accept: application/dns-message
  POST /dns-query                          body: 原始 DNS 报文（二进制）

响应：
  Content-Type: application/dns-message
  body: 原始 DNS 响应报文

# 用 curl 手工发一个 DoH 查询
curl -s -H 'accept: application/dns-message' \
  'https://cloudflare-dns.com/dns-query?dns=AAABAAABAAAAAAAAB2V4YW1wbGUDY29tAAABAAE' \
  --output - | xxd | head

# kdig 支持 DoT 与 DoH 两种方式
kdig -d @1.1.1.1 +tls-ca +tls-hostname=cloudflare-dns.com example.com   # DoT
kdig -d @https://cloudflare-dns.com/dns-query example.com               # DoH

ECS 工作方式：
  Stub → 递归解析器：正常查询
  递归 → 权威：附加 OPT 记录，含 CLIENT-SUBNET = 203.0.113.0/24
  权威：按该网段返回就近节点 IP
  递归：缓存时按网段隔离，避免跨网段串味

# Unbound 中控制 ECS：默认不发送，或截断为 /24
# 见 unbound.conf 的 send-client-subnet / max-client-subnet-ipv4

# /etc/unbound/unbound.conf
server:
    interface: 0.0.0.0
    access-control: 10.0.0.0/8 allow
    auto-trust-anchor-file: "/var/lib/unbound/root.key"   # 根信任锚
    val-log-level: 2                                      # 记录验证失败
    harden-dnssec-stripped: yes                           # 剥离 DNSSEC 的应答降级
    qname-minimisation: yes                               # 最小化查询名，减少泄露

    tls-cert-bundle: "/etc/ssl/certs/ca-certificates.crt"
    # 向上游用 DoT（可选）
    forward-zone:
        name: "."
        forward-tls-upstream: yes
        forward-addr: 1.1.1.1@853#cloudflare-dns.com

-- dnsdist 关键规则示例
addAction({"attacker.example."}, DropAction())
addAction(MaxQPSIPRule(50), DropAction())          -- 单 IP 限速
addAction(RespSizeRule(1232), TCOnlyAction())       -- 大响应强制 TCP
addAction(AllRule(), PoolAction("recursors"))       -- 分流到后端池

反射放大流程：
  1. 攻击者伪造源 IP = 受害者，向开放解析器发查询
     （如 ANY 查询、DNSSEC 签名的 TXT）
  2. 解析器把放大后的响应发往受害者
  3. 放大倍数 = 响应大小 / 请求大小（可达数十倍）

防护：
  - 关闭开放递归（只服务授权网段）
  - 启用 RRL（Response Rate Limiting）按 /24 限速
  - 拒绝 ANY 查询（RFC 8482 建议返回 HINFO）

# Unbound 开启 RRL
ratelimit:
    enable: yes
    responses-per-second: 10
    slip: 2                 # 每 N 个被限的查询回一个截断响应
    ipv4-prefix-length: 24
    ipv6-prefix-length: 64

# 检查某域名签名还有多久过期
dig +dnssec example.com RRSIG 2>/dev/null | grep RRSIG

# 用 delv 做本地验证（BIND 自带，会明确报验证结果）
delv @1.1.1.1 example.com A

迁移顺序（由内向外）：
  1. 内网递归解析器启用 DNSSEC 验证（保证答案可信）
  2. 解析器对上游使用 DoT（保证上游链路加密）
  3. 客户端指向内网解析器（统一出口、便于审计）
  4. 按策略决定是否放行公共 DoH（权衡隐私与管控）