Hickory-DNS解析器对不存在域名返回NOERROR而非NXDOMAIN的问题分析

在DNS解析过程中，当查询一个不存在的域名时，按照DNS协议规范，权威服务器应当返回NXDOMAIN状态码，表示该域名不存在。然而，在使用Hickory-DNS项目构建的递归解析器时，发现对于不存在的域名查询，系统错误地返回了NOERROR状态码，这与主流DNS实现(BIND、Unbound等)的行为不一致。

问题现象

在测试环境中搭建了一个隔离的本地DNS网络，配置了完整的DNS层级结构，包括根域(.)和二级域(nameservers.com.)的权威服务器。当向配置了递归解析功能的Hickory-DNS服务器查询一个明确不存在的域名(如doesnotexist.nameservers.com)时：

• 预期行为：应返回NXDOMAIN状态码，并在权威区段包含对应域的SOA记录
• 实际行为：返回了NOERROR状态码，且没有包含任何权威区段信息

相比之下，在相同测试环境下，BIND和Unbound等成熟DNS实现都能正确返回NXDOMAIN响应。

技术背景

DNS协议定义了多种响应状态码，其中两个关键状态码是：

1. NXDOMAIN：表示查询的域名在权威服务器上不存在
2. NOERROR：表示查询成功完成，但可能没有找到请求的记录类型

根据RFC标准，当查询的域名在任何层级都不存在时，权威服务器应当返回NXDOMAIN。只有当域名存在但请求的特定记录类型不存在时，才应返回NOERROR。

问题分析

通过对Hickory-DNS递归解析器的代码分析，发现其处理不存在的域名时存在逻辑缺陷：

1. 递归解析过程中未能正确识别"域名不存在"的情况
2. 在最终响应生成阶段，没有正确设置NXDOMAIN状态码
3. 缺少必要的SOA记录返回，这违反了DNS协议中关于否定应答应包含SOA记录的要求

这个问题在隔离的测试环境中特别明显，因为在这种环境下不会受到公共DNS基础设施的干扰，能够更清晰地观察到解析器的实际行为。

解决方案

该问题已被项目维护者确认并修复。修复方案主要涉及：

1. 完善递归解析逻辑，正确识别域名不存在的场景
2. 在适当情况下设置NXDOMAIN状态码
3. 确保否定应答包含正确的SOA记录

修复后的版本已经能够与主流DNS实现保持行为一致，正确处理不存在域名的查询请求。

测试建议

在测试DNS解析器行为时，建议：

1. 使用隔离的测试环境，避免依赖公共DNS基础设施
2. 考虑使用.test等保留域进行测试，避免与真实域名冲突
3. 验证各种边界情况，包括：
   • 完全不存在的域名
   • 存在但缺少特定记录类型的域名
   • 各种层级的域名不存在情况

通过全面的测试，可以确保DNS解析器在各种场景下都能符合协议规范和行为预期。