DNS无法解析IP_DNS、HttpDNS和Okhttp

一.DNS

1.DNS的作用

DNS (Domain Name System)域名解析系统，其作用是根据域名查找出对应的 IP 地址。比如访问 http://www.baidu.com 的时候，需要通过 DNS 查处 IP 地址是 14.215.177.39

2.DNS 域名解析过程

假设访问 http://www.baidu.com 域名解析过程如下： - 1.查找本地 DNS 缓存（即系统缓存），如没有则进行下一步 - 2.向 localDNS (本地 DNS 服务器，一般是由 ISP 互联网服务提供商，例如联通、电信和移动提供)发起查询请求，如没有则 localDNS 会向根域名服务器发起查询请求。 - 3.根域名服务器会返回 .com 的顶级域名服务器地址 - 4.localDNS 向顶级域名服务器发起查询，顶级域名服务器返回 .http://baidu.com 的次级域名服务器地址 - 5.localDNS 向次级域名服务器发起查询，次级域名服务器返回 http://www.baidu.com 的 IP 地址 - 6.localDNS 记录缓存，并返回给客户端。

3.DNS TTL

TTL( Time-To-Live 生存时间)，表示一条域名解析记录在 DNS 服务器上缓存时间。当 DNS 服务器获得一条 DNS 解析记录后，会在 DNS 服务器中保存一段时间，这段时间内如果再接到这个域名的解析请求，DNS 服务器将不再发出解析请求，而是直接返回缓存的记录。

4.国内 ISP localDNS 问题

国内 localDNS 由于各种原因，在域名解析时有时会造成异常：

域名缓存

仅对 80 端口的 http 服务做了缓存，如果域名是通过 https 协议或其它端口提供服务的，用户访问就会出现失败。
缓存服务器的运维水平参差不齐，时有出现缓存服务器故障导致用户访问异常的问题。

解析转发

解析转发是指运营商自身不进行域名递归解析，而是把域名解析请求转发到其它运营商的递归DNS上的行为。

LocalDNS递归出口NAT

LocalDNS 递归出口 NAT 指的是运营商的 LocalDNS 按照标准的 DNS 协议进行递归，但是因为在网络上存在多出口且配置了目标路由 NAT，结果导致 LocalDNS 最终进行递归解析的时候的出口IP 就有概率不为本网的 IP 地址。

域名劫持

域名劫持是互联网攻击的一种方式，通过攻击域名解析服务器（DNS），或伪造域名解析服务器（DNS）的方法，把目标网站域名解析到错误的IP地址

二.HttpDNS

HttpDNS 原理只是将域名解析过程中向 localDNS 请求替换成了使用 Http 协议，向某个厂商的 HttpDNS 服务器发送请求，HttpDNS服务器返回 IP 地址，客户端将 ip 地址替换域名发送请求。目前腾讯、阿里等都有提供 HttpDNS 解析服务。

三.okhttp+httpDNS

okhttp 使用httpDNS 有两种方式 - 在 Interceptor 内替换域名，重新发送请求 - 使用 okhttp 提供的 .dns 接口

使用拦截器的缺点

HTTPS 是为了保证安全的，在发送 HTTPS 请求之前，首先要进行 SSL/TLS 握手。在这个流程中，客户端需要验证服务器下发的证书。首先通过本地保存的根证书解开证书链，确认证书可信任，然后客户端还需要检查证书的 domain 域和扩展域，看看是否包含本次请求的 HOST。

在这一步就出现了问题，当使用拦截器时，请求的 URL 中，HOST 会被替换成 HTTPDNS 解析出来的 IP。当服务器存在多域名和证书的情况下，服务器在建立 SSL/TLS 握手时，无法区分到底应该返回那个证书，此时的策略可能返回默认证书或者不返回，这就有可能导致客户端在证书验证 domain 时，出现不匹配的情况，最终导致 SSL/TLS 握手失败。

这就引发出来 SNI 方案，SNI（Server Name Indication）是为了解决一个服务器使用多个域名和证书的 SSL/TLS 扩展。

SNI 的工作原理，在连接到服务器建立 SSL 连接之前，先发送要访问站点的域名（hostname），服务器根据这个域名返回正确的证书。现在，大部分操作系统和浏览器，都已经很好的支持 SNI 扩展。

针对 "domain 不匹配" 的问题，可以通过 hook 证书验证过程中的第二步，将 IP 直接替换成原来的域名，再执行证书验证。参见[source://src/main/java/okhttp3/internal/tls/OkHostnameVerifier.java]

参考文章

https://mp.weixin.qq.com/s/u6-53Kp9Jb48dKWzaJOKig

https://www.cnblogs.com/plokmju/p/okhttp_httpdns.html