二级域名服务器是什么，怎么配置才安全？

二级域名服务器是主域名服务器的备份节点，在主服务器宕机或拒绝响应时自动接管域名解析，它最大的价值是消除DNS单点故障。

二级域名服务器是什么

先理清一个常见混淆：二级域名和二级域名服务器不是一回事。

二级域名指的是域名层级，blog.example.com 里的 blog，它是 example.com 下的二级域名，而二级域名服务器说的是DNS架构里的一个角色，英文叫Secondary DNS Server，和它对应的是主域名服务器（Primary DNS Server）。

DNS服务器负责把域名翻译成IP地址，这个过程叫域名解析，如果一套DNS只靠一台服务器扛着，它一旦宕机，网站、邮箱、App接口全部跟着瘫痪，所以DNS在设计之初就引入了主从机制：主服务器保存并维护权威数据，二级服务器定期从主服务器拉取数据副本，用户查询时，任意一台都能给出正确应答，主服务器挂了,解析工作仍然照常进行。

这里需要说明的是，二级域名服务器的另一个常用叫法是辅助域名服务器或从域名服务器，各厂商的文档叫法略有差异,指的都是同一个东西。

二级域名服务器的工作流程

它的运行逻辑可以拆成三步：

• 主域名服务器上的区域数据发生变化，比如新增一条A记录或修改了MX记录
• 二级域名服务器通过区域传送（Zone Transfer）机制，主动向主服务器拉取最新数据
• 用户发起解析请求时，递归服务器可能直接命中二级服务器上的数据并返回结果

整个过程由DNS协议中的NOTIFY通知和AXFR/IXFR传送机制自动完成，不需要人工干预，主服务器的数据一变，二级服务器通常在几秒到几分钟内完成同步。

二级域名服务器和主域名服务器的区别

很多人以为二级域名服务器就是性能差一档的服务器，这个理解不准确，两者在职责上不对等,但在解析能力上没有高低之分。

行业共识认为，一套健壮的DNS架构至少要部署两台以上服务器，主从各一台，最好放在不同的物理机房，主从分离的核心价值不是提升性能，而是消除单点故障，DNS一旦整体挂掉，后果比服务器停机更严重因为连故障排查的解析路径都断了。

业内专家指出，多数域名解析中断事故的根因不是配置错误，而是基础设施单点化，比如主从两台服务器租在同一家IDC,机房断电就全军覆没。

二级域名服务器的作用不只有备份

除了容灾兜底，二级域名服务器还承担着分摊压力的任务，当域名的DNS查询量很大时，主从两台服务器同时对外应答，递归解析器会按配置随机选择或就近选择节点,查询流量被自然分流。

另一个实用价值是降低解析延迟，如果你把主服务器放在华北，把二级服务器放到华南或海外节点，当地用户的DNS查询就能在更近的路径上完成，据CNNIC发布的域名服务运行报告，解析延迟是影响网站第一个字节时间的常见因素之一,地域分散的DNS部署能直接改善这个指标。

二级域名服务器怎么配置

自建二级域名服务器不需要高深的编程能力，核心操作就两步：在主服务器上授权区域传送，在二级服务器上声明主服务器的地址,下面以Linux上最常见的BIND软件为例。

主域名服务器端配置

编辑主服务器的 /etc/named.conf 文件,在目标区域块中加入允许传送和主动通知的配置：

zone "example.com" {
    type master;
    file "example.com.zone";
    allow-transfer { 192.168.1.10; };
    also-notify { 192.168.1.10; };
};

• allow-transfer 指定二级服务器的IP，只允许这个地址拉取zone数据
• also-notify 让主服务器在数据变更时主动给二级服务器发通知，缩短同步窗口

修改后执行 named-checkconf 检查语法，确认无误后运行 systemctl reload named 重载服务。

二级域名服务器端配置

在二级服务器上编辑同样的配置文件，把区域类型改成 slave：

zone "example.com" {
    type slave;
    file "slaves/example.com.zone";
    masters { 192.168.1.5; };
};

masters 填的是主服务器的IP地址，配置完成后，二级服务器会自动向主服务器发起区域传送请求，拉取完整的zone文件，同步是否成功，可以用 dig @二级服务器IP example.com A 命令验证,返回正确的IP记录就说明配置生效了。

注册商NS记录更新

服务器配置只是前半场，你还得让全球的DNS系统知道这个新节点的存在，登录域名注册商的控制台，在DNS管理页面找到NS记录，添加二级服务器的域名标识，这一步经常被遗漏，也是出错率最高的地方NS记录里的主机名必须和二级服务器的实际主机名完全一致,否则解析请求不会被转发到这个节点。

二级域名解析服务器选型建议

自建BIND之外，也有成熟的托管服务可以充当二级域名解析服务器，比如Cloudflare、简米云解析、DNSPod，对这些平台来说，免费套餐已经覆盖了绝大多数中小站长的解析量，还自带DDoS防护和智能线路调度,省去了自己维护服务器的运维成本。

但要注意，托管服务的免费二级域名服务器方案和自建有个关键差异：数据由平台一侧的API控制，主从关系由平台内部处理，你只能看到最终生效的解析结果,看不到底层的区域传送过程。

配置前要确认的几个问题

• 主服务器和二级服务器要放在不同机房或不同运营商网络上，避免物理级联故障
• 区域传送默认走TCP 53端口，防火墙需要放行，UDP 53负责的普通查询也要同时开放
• 不要在同一台物理机上同时跑主服务和从服务，这等于白搭
• 定期检查同步状态，BIND环境下执行 dig @二级服务器IP SOA example.com 看序列号是否和主服务器一致

二级域名服务器常见问题解答

二级域名服务器和DNS负载均衡是同一回事吗？

不是，二级域名服务器解决的是可用性问题，保证主服务器挂掉后域名仍然能解析；DNS负载均衡解决的是流量调度问题，通过一个域名返回多个IP来分散访问压力，二者可以配合使用，一个负责兜底,一个负责分发。

二级域名服务器的数据多久同步一次？

同步不是按固定时间表执行的，主服务器数据变更后会立刻发送NOTIFY消息，二级服务器收到通知后马上发起AXFR全量或IXFR增量传送，通常几秒内就能完成，即便NOTIFY失效，二级服务器也会按照SOA记录中的Refresh字段周期检查,默认间隔通常是15分钟到1小时。

所有解析记录都放在二级服务器上可以吗？

可以，二级服务器保存的是完整的数据副本，具备完整的权威解析能力，但建议始终保留一台主服务器维护原始数据，因为二级服务器是只读的，所有变更必须回到主服务器操作，再由它同步过去，更重要的是，域名系统本身就是主从结构和分布式协作的产物，至少在DNS这个环节，多一个节点就多一分稳定,这也是主从架构被行业沿用至今的原因。