farrokhi/dnsdiag

DNSdiag：DNS测量、故障排除与安全审计工具集

镜像概述和主要用途

DNSdiag是一套功能强大的DNS诊断工具集，旨在帮助用户监测DNS服务器性能、排查DNS请求异常、审计DNS安全问题。该工具集包含三个核心工具：dnsping（DNS响应时间测量）、dnstraceroute（DNS请求路径追踪）和dnseval（多DNS解析器性能评估），支持多种现代DNS协议（如DoT、DoH、DoQ等），适用于检测ISP DNS拦截、评估DNS服务器可靠性及选择最优解析器。

核心功能和特性

主要工具

• dnsping：类似网络ping工具，测量任意DNS服务器对指定查询的响应时间，支持统计延迟、抖动和丢包率，支持多种传输协议。
• dnstraceroute：追踪DNS请求到目标服务器的路径，对比网络路由差异，检测DNS请求是否被重定向或拦截。
• dnseval：批量评估多个DNS解析器的性能（延迟）和可靠性（丢包率），帮助选择最优DNS服务器。

协议支持

支持UDP、TCP、DNS over TLS (DoT)、DNS over HTTPS (DoH)、DNS over QUIC (DoQ) 和 DNS over HTTP/3 (DoH3) 等多种传输协议。

高级特性

• 支持DNSSEC验证测试（--dnssec）
• 显示EDNS标志、NSID（名称服务器标识符）、DNS Cookie等扩展信息
• 提供响应时间统计（最小/最大/平均延迟、抖动）
• 支持EDNS客户端子网（ECS）测试，评估地理路由响应

使用场景和适用范围

• 网络诊断：排查DNS解析缓慢、不稳定或异常重定向问题
• 安全审计：检测ISP或中间设备对DNS流量的拦截或劫持
• 性能优化：比较不同DNS解析器（如谷歌8.8.8.8、Cloudflare 1.1.1.1）的响应速度和可靠性
• 协议测试：评估现代DNS协议（如DoH、DoQ）在网络中的性能表现
• 服务器监控：持续监测自建DNS服务器的响应时间和可用性

使用方法和配置说明

Docker镜像获取与运行

基本运行方式

使用Docker镜像无需本地安装依赖，直接运行工具：

bash
# 查看dnsping帮助
docker run --network host -it --rm farrokhi/dnsdiag dnsping.py --help

# 运行dnsping测试谷歌DNS（8.8.8.8）对example.com的响应
docker run --network host -it --rm farrokhi/dnsdiag dnsping.py -c 5 -s 8.8.8.8 example.com

注意：--network host确保容器使用主机网络，避免网络隔离影响测试准确性。

常用工具示例

dnsping：测量DNS响应时间

bash
# 使用TLS协议（DoT）测试8.8.8.8，启用DNSSEC，发送5次AAAA查询
docker run --network host -it --rm farrokhi/dnsdiag dnsping.py -c 5 --tls --dnssec -t AAAA -s 8.8.8.8 example.com

输出示例：

dnsping.py DNS: 8.8.8.8:853, hostname: example.com, proto: TLS, class: IN, type: AAAA, flags: [RD]
75  bytes from 8.8.8.8: seq=1   time=23.45 ms  NOERROR [QR RD RA -- DO]
75  bytes from 8.8.8.8: seq=2   time=21.82 ms  NOERROR [QR RD RA -- DO]
75  bytes from 8.8.8.8: seq=3   time=25.11 ms  NOERROR [QR RD RA -- DO]
75  bytes from 8.8.8.8: seq=4   time=22.37 ms  NOERROR [QR RD RA -- DO]
75  bytes from 8.8.8.8: seq=5   time=24.03 ms  NOERROR [QR RD RA -- DO]

--- 8.8.8.8 dnsping statistics ---
5 requests transmitted, 5 responses received, 0% lost
min=21.82 ms, avg=23.36 ms, max=25.11 ms, stddev=1.24 ms

dnstraceroute：追踪DNS请求路径

bash
# 追踪DNS请求到Cloudflare DNS（1.1.1.1）的路径，使用HTTP/3协议
docker run --network host -it --rm farrokhi/dnsdiag dnstraceroute.py --http3 -s 1.1.1.1 cloudflare.com

dnseval：评估多个DNS解析器

bash
# 评估公共DNS服务器列表对github.com的解析性能，发送10次查询
docker run --network host -it --rm farrokhi/dnsdiag dnseval.py -f public-servers.txt -c 10 github.com

核心工具参数说明

dnsping主要参数

• --tcp/--tls/--doh/--quic/--http3：选择传输协议（默认UDP）
• -c <count>：发送查询次数（默认5次）
• -s <server>：指定DNS服务器（IP或域名）
• -t <type>：查询类型（如A、AAAA、MX，默认A）
• --dnssec：启用DNSSEC验证请求
• --ecs <cidr>：指定EDNS客户端子网（如203.0.113.0/24）
• --nsid：请求并显示名称服务器标识符（NSID）

dnstraceroute主要参数

• --tcp/--quic/--http3：选择传输协议（默认UDP）
• -s <server>：目标DNS服务器
• --asn：显示IP的ASN信息
• --expert：启用专家提示（如检测潜在DNS劫持）

dnseval主要参数

• -f <file>：指定包含DNS服务器列表的文件（每行一个服务器）
• -c <count>：每个服务器发送的查询次数
• --skip-warmup：跳过预热查询（直接开始测量）
• --dnssec：对所有查询启用DNSSEC验证

协议支持矩阵

DoQ：DNS over QUIC，DoH3：DNS over HTTP/3

总结

DNSdiag通过直观的命令行工具和丰富的协议支持，为DNS性能监测、故障排除和安全审计提供了全面解决方案。无论是个人用户排查网络问题，还是管理员评估DNS基础设施，都能通过该工具集快速获取关键指标和诊断结果。