互联网基础技术学习地图
这是一份纯理论学习清单，不含任何命令、配置文件和操作步骤。
每个概念只回答两个问题：它解决什么问题，以及它通常用在什么场景。
一、全局地图
互联网基础技术可以归到 6 个领域。它们不是并列的知识点，而是层层依赖：
① DNS 体系 —— 名字怎么变成地址（最底层，先学）
④ 域名与注册商体系 —— 谁在管这个域名
⑤ 服务器与端口 —— 一台机器对外开了哪些"门"
② 邮件系统 —— 信怎么送到、怎么证明是你发的（知识最密）
③ CDN 与网络调度 —— 为什么有人访问快、有人慢
⑥ 认证与加密基础 —— 密码学怎么支撑上面所有东西
推荐顺序：① → ④ → ⑤ → ② → ③ → ⑥。
理由：DNS 是地基；域名体系是 DNS 的上层管理；端口是服务器的大门；邮件同时用到了 DNS、域名、端口三样，是综合应用；CDN 是 DNS 的高级玩法；加密贯穿其中。
二、领域 ①：DNS 体系
它解决一个问题：为什么输入一个域名就能找到服务器。
2.1 谁在帮你查地址
| 概念 | 它解决什么问题 | 典型场景 |
|---|---|---|
resolv.conf |
一台服务器自己该去找谁查域名 | 配置服务器的网络时 |
| 内网 DNS | 同一云环境里的服务之间怎么互相找到对方（不对外） | 云上的数据库、内网服务发现 |
| 公共 DNS | 给所有人用的公开查询服务 | 1.1.1.1、119.29.29.29 这类地址 |
| Anycast（任播） | 一个地址在全世界很多地方都能用，你连的是最近的那个 | 公共 DNS 为什么又快又稳 |
| 递归解析器 | 替你一家一家去问，直到拿到答案 | 你电脑和服务器上的 DNS 设置 |
| 权威 DNS | 真正持有正确答案的那一方 | DNSPod、Cloudflare 这类解析服务 |
关键认知：递归解析器和权威 DNS 是两个角色。”你去找谁问”和”谁知道正确答案”，是两件事。
2.2 几种常见记录
| 记录类型 | 它解决什么问题 | 典型场景 |
|---|---|---|
| A 记录 | 域名对应哪个 IPv4 地址 | 把 example.com、blog.example.com 指向网站服务器 |
| CNAME | 给一个域名起别名 | 把子域名指向另一个服务商的名字 |
| MX | 这个域名的邮件送到哪台服务器 | 配置域名邮箱 |
| TXT | 给域名挂一段说明文字 | SPF、DKIM 都靠它存公钥 |
| NS | 这个域名的解析由谁管 | 把域名交给另一家解析商 |
关键认知：根域名 @ 的 CNAME 和 MX 不能共存。这是 DNS 协议的规定：CNAME 的意思是”这个节点整个被另一个名字代替”，一旦存在，这个节点上的其他记录就都不算了，MX 也会失效。而 A 记录和 MX 可以共存，互不影响。
2.3 三个进阶机制
| 概念 | 它解决什么问题 | 典型场景 |
|---|---|---|
| TTL | 查到的结果能缓存多久 | 改 DNS 设置前先调小，让变更快点生效 |
| DNSSEC | 防止查询结果被篡改 | 改 NS 前要先关闭，否则解析会失败 |
| ECS（客户端子网） | 查询时顺便告诉对方”我在哪个城市” | CDN 调度时判断用户位置 |
关键认知：ECS 是”调度精度”的关键。公共 DNS 出于隐私默认不发送它，结果 CDN 看不到用户真实位置，可能把广州用户调到北京节点。
三、领域 ④：域名与注册商体系
它解决一个问题：DNS 之上，谁在管”这个域名归谁”。
| 概念 | 它解决什么问题 |
|---|---|
| 域名注册商 | 卖域名给你的商家 |
| 域名解析商 | 替你管 DNS 记录的服务 |
| NS 托管权 | 决定”域名交给谁管”的总开关 |
| 域名层级 | com（顶级）→ example.com（二级）→ blog.example.com（三级） |
| 续费 / 赎回期 | 忘了续费，域名会被暂停，甚至被别人抢注 |
| 实名 / WHOIS | 域名所有者信息登记 |
关键认知：注册商和解析商可以不是同一家。域名在 A 家买，解析可以在 B 家做——”改 NS”就是把管理权从一家转到另一家。转完之后，加记录要去新的一家操作，旧的控制台里加了也不生效。
四、领域 ⑤：服务器与端口
它解决一个问题：一台服务器对外打开了哪些”门”。
4.1 基础
| 概念 | 它解决什么问题 |
|---|---|
| IP 地址 | 服务器在互联网上的门牌号 |
| 端口 | 一台机器上的”分机号”，不同服务走不同的门 |
| IP + 端口 = 一个服务 | 光有 IP 不够，还得知道走哪扇门 |
4.2 常见端口分工
| 端口 | 干什么 | 典型场景 |
|---|---|---|
| 80 / 443 | 网页（443 是加密版） | 网站 |
| 25 | 邮件服务器之间互相送信 | 服务器对服务器发信 |
| 465 / 587 | 需要登录验证的客户端发信端口 | 邮件客户端发信 |
| 143 / 993 | 读邮件（993 是加密版） | 邮件客户端收信 |
4.3 为什么 25 端口被管得这么严
| 概念 | 它解决什么问题 |
|---|---|
| IP 声誉 | 这个 IP 历史上做过什么，全世界都记着 |
| 黑名单 | 记录”坏 IP”的公开名单，主流邮箱都会查 |
| PBL | 专门列出”不该直接对外发信的 IP 段”的名单 |
| PTR（反向解析） | “这个 IP 是谁”，和正向的”域名 → IP”方向相反 |
| 开放中继 | 谁都能拿来发信的邮件服务器，是垃圾邮件温床 |
| 中继 / 代发 | 自己不直连，请第三方替你发 |
关键认知（三重逻辑）：
- 技术原因：SMTP 最初没有强制身份验证，谁都能连上来冒充别人发信。
- 共享 IP 段：云服务器几十上百人共用一段 IP，一个人的行为会污染所有人。国际黑名单会整段拉黑，连”没发过垃圾邮件”的也被连累。
- 商业与合规：云厂商要保住自己 IP 段的声誉，监管也对基础运营商有要求。
另一个关键认知：封锁的是”服务器之间直连发信”，不是”收信”，也不是”登录后发信”。 465 和 587 端口默认留着，是因为它们必须登录、必须加密、能追溯到人。
五、领域 ②：邮件系统
它解决两个问题：信怎么送到、怎么证明是我发的。
5.1 三个角色
| 角色 | 干什么 | 对应软件（仅供了解） |
|---|---|---|
| MUA | 写信的人（你用的邮箱界面） | 网页邮箱、邮件客户端 |
| MTA | 搬信的邮局（服务器之间传信） | Postfix |
| MDA | 存信的柜子（把信放进收件箱） | Dovecot 等 |
画面：你 → 自己的邮件服务器 →（25 端口）→ 对方的邮件服务器 → 对方的收件箱。
关键认知：发邮件不是”直接发到对方电脑”，而是”交给自己的服务器，再由它去找对方的服务器”。所以你能关机，对方照样收到。
5.2 信怎么存、怎么读
| 概念 | 它解决什么问题 |
|---|---|
| Maildir | 服务器上的真实存法：一封信一个文件 |
| IMAP | 隔着网络打开服务器上的”柜子”看信，原件不动 |
| POP3 | 老式做法：把信下载到本地，服务器上可能就没了 |
5.3 三道防线（按顺序理解）
| 防线 | 它回答的问题 | 它的漏洞 |
|---|---|---|
| SPF | 这封信用的 IP，是不是这个域名授权过的？ | 信经过第三方转发时，IP 变了，会失效 |
| DKIM | 这封信发出后有没有被改过？ | 只保证内容没被改，不保证发件人真实 |
| DMARC | SPF 和 DKIM 都失败了，你打算怎么办？ | 自己不产生新证据，靠前两个 |
关键认知：这三样不是”三选一”，而是一条防线上的三道锁，各有漏洞、互相补。SPF 是查门禁卡，DKIM 是查封条，DMARC 是”门禁和封条都不对时前台怎么处理”的规定。
另一个关键认知：SPF 只能有一条。两边都想写，要用 include 合并进同一条，而不是各加一条。
5.4 为什么发信这么难
SPF / DKIM / DMARC 全配对了，信还是可能进垃圾箱。因为还有领域 ⑤ 里的那一关：IP 声誉和黑名单。这一关和”你配得对不对”无关，只和”你的 IP 历史清不清白”有关。
六、领域 ③：CDN 与网络调度
它解决一个问题：为什么有人打开你的网站快，有人慢。
| 概念 | 它解决什么问题 | 典型场景 |
|---|---|---|
| CDN | 把内容复制到各地，让用户就近访问 | 要不要给网站套 CDN |
| 边缘节点 | CDN 在各地的”分店” | 用户就近连哪个 |
| 调度 | 决定让你进哪家分店 | 国内用户被分到海外节点 |
| ECS | 调度时参考”你在哪个城市” | 海外 DNS 不发送它，调度就变粗 |
| Anycast | 一个 IP 全球就近接入 | CDN 和公共 DNS 都在用 |
| 回源 | 分店里没有内容时，回你的服务器取 | CDN 背后的真实服务器 |
| 代理开关（灰云 / 橙云） | 流量是否经过中间节点 | 邮件相关记录不能开代理 |
关键认知：CDN 的加速效果，取决于”调度准不准”。调度又依赖 ECS。你的服务器在海外、用户在国内，如果 DNS 不发送 ECS，调度精度会下降，加速效果可能反过来变成减速。
七、领域 ⑥：认证与加密基础
它解决一个问题：怎么证明”是你”，怎么保证”没被偷看”。
| 概念 | 它解决什么问题 | 出现在哪 |
|---|---|---|
| 对称加密 | 同一把钥匙加解密 | HTTPS 底层 |
| 非对称加密 | 公钥加密、私钥解密，一对钥匙 | DKIM 签名 |
| 公私钥对 | 私钥自己藏，公钥公开让人验 | DKIM 的公钥放在 TXT 记录里 |
| 数字签名 | 用私钥盖章，别人用公钥验 | DKIM |
| 证书（SSL/TLS） | 证明”这个公钥确实是这个网站的” | HTTPS、993 端口 |
| 免费证书机构 | 免费签发证书 | 自建邮件服务器时给 IMAP 用 |
| 授权码 | 给客户端用的专用密码，不是邮箱密码 | 在邮箱客户端里收发 |
关键认知：SPF 和 DKIM 都是”证明发件人”的手段，但思路不同。SPF 证明的是”从哪台机器发的”，DKIM 证明的是”内容有没有被改”。两者都依赖 DNS 来公布信息：SPF 写在 TXT 里，DKIM 的公钥也写在 TXT 里。
八、领域之间的关系（谁依赖谁）
域名与注册商（④）
│ 决定解析由谁管
▼
DNS 体系（①）──────────────┐
│ 提供地址和声明 │
├─ A 记录 → 网站 │ 提供公钥和授权信息
├─ MX 记录 → 邮件 │
└─ TXT 记录 ────────────┘
│
▼
服务器与端口（⑤） ← 加密基础（⑥）提供签名和加密
│
├─ 25 / 465 / 587 / 993 → 邮件系统（②）
└─ 80 / 443 → CDN 与调度（③）
一句话串联：域名体系决定”谁管”，DNS 公布”地址和声明”，服务器按端口分工提供各种服务，邮件系统在上面跑起”送信、存信、验身份”，CDN 用 DNS 做调度，加密为一切提供可信基础。
九、按历史顺序看：为什么这么复杂
| 年代 | 发生了什么 | 新增了什么 |
|---|---|---|
| 1980 年代 | 邮件系统诞生 | SMTP（25 端口） |
| 1990 年代 | 垃圾邮件泛滥 | 黑名单制度 |
| 2000 年代 | 伪造发件人泛滥 | SPF |
| 2010 年代 | 转发导致 SPF 失效 | DKIM + DMARC |
| 2010 年代后 | 云主机被滥用 | 云厂商封锁 25 端口、PBL 名单 |
核心道理：互联网基础协议有一个死结——不能推翻重来。每出一个新问题，只能在老系统上加补丁。今天的复杂度，是 40 多年每一次安全事件的叠加。
十、学习路径（建议按顺序）
第一步：DNS 体系（①）
├─ 递归 vs 权威
├─ 内网 DNS / 公共 DNS / Anycast
├─ A / CNAME / MX / TXT / NS 五种记录
└─ TTL / DNSSEC / ECS
第二步：域名与注册商（④）
├─ 注册商 vs 解析商
├─ NS 是交接点
└─ 续费 / 赎回 / 实名
第三步：服务器与端口（⑤）
├─ IP + 端口 = 一个服务
├─ 常见端口分工表
└─ 为什么 25 端口被管得严（IP 声誉 / 黑名单 / PBL）
第四步：邮件系统（②）
├─ MUA / MTA / MDA 三个角色
├─ SMTP / IMAP 两个协议
├─ SPF → DKIM → DMARC 三道防线
└─ 和第五步结合：IP 声誉那一关
第五步：CDN 与调度（③）
├─ CDN 为什么能加速
├─ 调度与 ECS 的关系
└─ 代理开关、回源
第六步：加密基础（⑥），可随时穿插
├─ 对称 vs 非对称
├─ 签名与验证
└─ 证书是什么
十一、学习心法
- 每个概念只问一句”它解决什么问题”，别急着记细节。
- 记画面，不记术语：25 端口是”邮局之间的门”，MX 是”地址牌”，DKIM 是”封条”，ECS 是”告诉对方我在哪个城市”。
- 允许分层不懂：第一遍只懂 A 记录是什么，PTR 和 PBL 可以放到第二遍。
- 历史是最好的老师：知道”当时出了什么问题”，比背”它是什么”更有用。
- 这 6 个领域互相支撑：学邮件时回头看 DNS，学 CDN 时回头看端口，会越来越通。
十二、学完之后你能做到什么
以后再听到下面任何一个词——
resolv.conf、内网 DNS、1.1.1.1、119.29.29.29、Anycast、ECS、A / CNAME / MX / TXT / NS、TTL、DNSSEC、根域名 CNAME 冲突、注册商与解析商、IP 声誉、黑名单、PBL、PTR、25 / 465 / 587 / 993、开放中继、MUA / MTA / MDA、SPF / DKIM / DMARC、CDN 调度、灰云橙云、对称非对称加密、数字签名、证书、授权码
——你都能立刻把它放进这张地图，知道它属于哪一层、解决什么问题、和旁边的东西是什么关系。
