在DNS世界中，有一个非常容易被忽略、但极其关键的机制：

👉 Glue Record（胶水记录）

很多人学DNS时：

知道：

• A记录

• CNAME

• MX记录

• NS记录

但却忽略了：

👉 Glue Record其实是DNS体系中“防止递归死循环”的关键设计。

如果没有Glue Record：

某些域名将出现：

👉 “自己无法找到自己”的问题。

甚至：

整个DNS解析链都会崩溃。

本篇文章将从：

• Glue Record原理

• DNS委派机制

• 递归解析死循环

• Root与TLD交互

• In-bailiwick与Out-of-bailiwick

• Glue缓存问题

• DNS劫持风险

进行真正偏协议层的深度技术解析。

一、什么是Glue Record？

Glue Record中文通常翻译为：

👉 胶水记录。

它的本质是：

👉 “为了打破DNS循环依赖而额外提供的IP地址记录。”

注意：

Glue Record：

❌ 不是正式权威解析记录
✅ 是辅助解析记录

它通常出现在：

Additional Section

作用是：

👉 帮助递归DNS继续找到下一级DNS服务器。

二、为什么会出现“DNS循环依赖”？（核心问题）

理解Glue必须先理解：

👉 DNS委派（Delegation）机制。

例如：

example.com

使用：

ns1.example.com

作为权威DNS。

问题来了：

递归DNS现在需要：

👉 先找到：

ns1.example.com

的IP。

但：

ns1.example.com

本身又属于：

example.com

于是出现死循环：

要解析example.com

需要先找到ns1.example.com

要找到ns1.example.com

又必须先解析example.com

这就是：

👉 DNS循环依赖问题。

三、Glue Record如何解决循环？（核心原理）

解决方案非常巧妙：

👉 父域直接“顺便告诉你NS服务器IP”。

例如：

.com 顶级域服务器不仅返回：

NS = ns1.example.com

还会额外返回：

ns1.example.com = 1.1.1.1

这个额外IP：

👉 就是Glue Record。

这样递归DNS无需再次查询：

ns1.example.com

即可直接访问：

1.1.1.1

循环问题被打破。

四、Glue Record真正存储在哪里？（重点）

很多人误以为：

Glue存在于权威DNS。

其实不是。

Glue通常存储于：

👉 父区域（Parent Zone）

例如：

example.com

的Glue：

通常存在于：

.com

区域。

因为：

👉 父区域负责委派子域。

五、DNS解析中的Glue完整流程（底层流程）

假设用户访问：

www.example.com

递归DNS流程如下：

第一步：查询根DNS

根DNS返回：

.com NS

第二步：查询.com服务器

.com返回：

NS记录

ns1.example.com

Additional Section中的Glue

ns1.example.com A 1.1.1.1

第三步：递归DNS直接访问1.1.1.1

无需再次解析：

ns1.example.com

第四步：获得最终A记录

👉 整个解析链完成。

六、什么是In-Bailiwick与Out-of-Bailiwick？（高级重点）

这是Glue机制最重要的概念之一。

In-Bailiwick

NS服务器：

👉 属于当前域名内部。

例如：

example.com
→ ns1.example.com

这种情况：

👉 必须提供Glue。

Out-of-Bailiwick

NS服务器：

👉 属于外部域名。

例如：

example.com
→ ns1.cloudflare.net

此时：

👉 不需要Glue。

因为：

递归DNS可以独立解析：

cloudflare.net

七、为什么Glue不是“权威数据”？（技术重点）

Glue虽然提供IP：

但它：

❌ 不是最终权威数据。

真正权威A记录：

应该来自：

example.com 权威DNS

Glue只是：

👉 “临时辅助信息”

因此：

递归DNS通常会：

• 优先使用Glue建立连接

• 后续再验证正式权威数据

八、Glue缓存为什么可能导致问题？

Glue也会被缓存。

如果：

ns1.example.com

IP修改了：

但Glue未及时更新：

可能导致：

DNS解析失败

访问错误NS

全球解析不一致

因此：

Glue同步问题：

是大型DNS运维中的重要风险。

九、Glue与DNS劫持的关系（安全重点）

Glue属于：

👉 父区域提供的数据。

如果攻击者：

• 篡改Glue

• 污染Additional Section

可能导致：

👉 递归DNS访问恶意权威服务器。

这也是：

DNS缓存投毒的重要攻击点之一。

十、DNSSEC如何保护Glue？

DNSSEC可以：

👉 对委派链进行签名验证。

例如：

DS记录

用于建立：

👉 父子区域信任关系。

虽然Glue本身不总是直接签名：

但DNSSEC会验证：

👉 整个解析链可信性。

从而降低：

• Glue伪造

• 委派劫持

• NS篡改

风险。

十一、为什么大型DNS系统非常重视Glue一致性？

现代全球DNS系统：

节点极多。

如果：

Glue未同步

Parent Zone缓存异常

Anycast节点更新延迟

可能导致：

👉 全球部分地区解析失败。

因此大型DNS服务商会：

• 实时同步Glue

• 自动校验NS一致性

• 动态检测委派链

十二、未来趋势：智能委派与自动Glue管理

未来DNS系统越来越智能。

趋势包括：

自动Glue同步

AI异常委派检测

全球实时DNS一致性校验

DNSSEC全链路验证

未来：

👉 DNS委派系统会越来越像“全球分布式信任网络”。

总结

Glue Record的本质是：

👉 为了解决DNS委派中的循环依赖问题。

它通过：

👉 父区域提前提供NS服务器IP，

让递归DNS能够：

👉 正常继续解析链路。

虽然Glue只是“辅助记录”，但实际上：

👉 它是整个DNS递归体系能够正常运行的关键基础。

没有Glue：

👉 某些DNS域名甚至无法找到自己的权威服务器。