PowerDNS DNSdist中EDNS扩展错误状态处理的字节序问题分析

问题背景

在DNS协议中，EDNS（Extension Mechanisms for DNS）为DNS提供了扩展能力，允许在DNS报文中携带额外信息。其中EDNS选项中的标志位（flags）字段用于传递各种控制信息，如DNSSEC相关标志。PowerDNS的DNSdist组件在处理EDNS扩展错误状态时，存在一个字节序处理不当的问题。

问题现象

当管理员在DNSdist中配置如下规则时：

addAction(AndRule({QNameRule('example.nl.'), QClassRule(DNSClass.IN), QTypeRule(DNSQType.TXT)}), 
          SetExtendedDNSErrorAction(4, "We fiddled around with this"))

客户端使用dig +do TXT example.nl @dnsdistresolver.example.nl命令（注意设置了DO-bit）查询时，DNSdist的响应会出现异常：

• 预期行为：DO-flag应为1，Z-flag应为0
• 实际行为：DO-flag为0，Z-flag为0x0080

技术分析

这个问题本质上是字节序处理不当导致的。在EDNS选项中，标志位字段需要以网络字节序（大端序）传输。但在DNSdist的代码实现中，edns0.extFlags在添加到OPT记录时没有进行正确的字节序转换。

具体来看，在dnsdist-ecs.cc文件中，packetWriter.addOpt()调用时直接使用了edns0.extFlags，而没有使用ntohs()进行网络字节序转换。这导致标志位被错误解释，特别是影响了DO-bit（DNSSEC OK）标志的传递。

解决方案

修复方案相对简单，只需在添加OPT记录时对标志位进行正确的字节序转换：

packetWriter.addOpt(recordHeader.d_class, edns0.extRCode, ntohs(edns0.extFlags), options, edns0.version);

这个修改确保了标志位以正确的网络字节序传输，恢复了DO-bit等标志位的正常功能。

影响范围

这个问题主要影响：

1. 使用SetExtendedDNSErrorAction功能的配置
2. 需要DNSSEC验证的查询（DO-bit设置）
3. 依赖EDNS扩展错误状态传递的场景

最佳实践建议

对于使用DNSdist的管理员，在处理EDNS相关功能时应注意：

1. 测试时务必检查响应报文中的标志位设置
2. 对于关键功能（如DNSSEC），应验证标志位的正确传递
3. 升级到包含此修复的版本后，重新验证相关功能

总结