在反向 DNS 后获取 IP 网络范围？

Question

出于分析目的，我正在查看服务器日志文件中的大量 IP 地址。我正在尝试执行反向 DNS 查找以了解流量来自何处 - 例如解析到公司、学校、政府、国际等的 IP 的百分比。

尽管进行了大量优化，但单独对每个 IP 地址进行反向 DNS 处理似乎仍然相当昂贵。所以 -

有没有办法从反向 DNS 中获取整个IP范围？

如果是，这可以大大减少实际反向 DNS 查找的数量。

示例（数字略有混淆）：

• 日志文件包含来自 IP 的请求 128.151.162.17
• 反向 DNS 解析为 11.142.152.128.in-addr.arpa 21599 IN PTR alamo.ceas.rochester.edu
• （所以这是罗切斯特大学的访客，rochester.edu）
• 现在，假设来自128.151.162.*rochester.edu 的所有至少所有 IP都将解析为 rochester.edu 是否安全？
• 怎么样128.151.*.*？有没有办法获得确切的IP范围？

Answer 1

有没有办法从反向 DNS 中获取整个 IP 范围？

不是真的，不是；在极少数情况下，您可能能够执行 DNS 区域传输查询以获取区域中的所有记录（通常为整个 /24），但是您所查询的名称服务器对此做出响应的可能性非常低要求。预计每个地址对反向 DNS 进行一次查询（抱歉！）。

现在，假设来自 128.151.162.* 的所有至少所有 IP 也将解析为 rochester.edu 是否安全？

一般来说，大概，作为一所大学，他们很可能会拥有整个/ 24。然而，这不是一个适用于一般情况的好规则。较小的学校可能没有完整的 /24，或者可能没有反向 DNS。

反向 DNS 本身会很容易出错——在许多情况下，它只是在 ISP 的主机名下生成名称，或者根本没有记录。为了获得更好的数据，我们将使事情变得更加昂贵 - 您还应该查看来自 whois 的数据。

例如，这是来自罗切斯特 IP 的信息- 它显示了分配的大小（整个 /16 范围，因此在这种情况下适用于128.151.*.*）以及分配给的组织。

whois 信息应该为您想要的信息提供一个很好的真实来源，并且具有能够看到适用范围的好处。缺点是对于较小的分配，范围通常只会显示为属于 ISP 而不是最终客户。结合 whois 和反向 DNS 应该提供最好的信息（而且速度慢得离谱）。