区域传送

AXFR 传送一个完整 DNS 区域，让另一个服务器或获授权客户端取得数据，副本随后可以依据本地副本提供权威回答。协议不会神奇地识别调用方一定是合法权威服务器，谁能传送由访问控制决定。区域也是明确的权威边界，不等于所有委派子区域的记录，更不是整个组织的 DNS 命名空间。描述复制范围时，应以实际区域内容为准。 同时比较序列号与真实数据。来源中 10 到 11 的修复是具体案例；一般比较使用三十二位序列算术。完整传送边界、TSIG 授权与 SOA 过期各自需要检查。本次未重跑区域传送实验，也未生成共享秘密。 坏掉的样子 修改主服务器数据却不更新 SOA serial，可能让副本以相同版本号提供不同内容。重载主服务器，不会强迫所有副本替换看起来没有变化的区域。DNS 序列号比较使用三十二位序列算术，包括回绕规则；看起来像日期的数字只是运维约定，并不独立保证任何数值修改都表示更新。排查副本差异时，应同时看版本比较与真实数据。 不限制区域传送，可以让任意请求客户端一次取得完整区域内容。来源限制与 TSIG 可以控制访问，但配置语义必须正确。尤其在普通 BIND 允许列表里同时列出地址和密钥，不会自动成为两者都必须满足的条件。应审阅实际访问规则，并从相关来源测试未授权请求，不能因为配置里出现两项限制，就假定它们按预想的逻辑组合生效。 ...