Debian中非特权用户运行的named服务如何监听53端口？

我在Debian系统中使用非特权账户启动named服务，执行命令如下：

useradd named
chown -R named:named /etc/bind/
named -u named

该方式被支持且可正常运行，但我疑惑普通用户named无需root权限如何监听53端口？

我已在Debian上完成以下检查：

• 未修改内核参数（net.ipv4.ip_unprivileged_port_start = 1024）
• named二进制文件无SUID root权限（-rwxr-xr-x 1 root root 546K 09-21 19:33 /usr/sbin/named）
• IPTABLES无重定向规则（iptables -L -v -n 结果为空）
• named二进制文件无特殊能力（getcap /usr/sbin/named 结果为空）

我无法在Debian中用普通账户直接监听特权端口，所以想知道named的实现原理。

实现原理 #

核心是named的权限分离机制，具体逻辑如下：

1. 初始以root身份启动：你执行named -u named时，是用root用户启动的进程（普通用户通常连执行named的权限都没有）。此时进程以root身份完成53端口绑定、加载配置等需要特权的初始化操作。
2. 绑定完成后降权到普通用户：当所有需要特权的操作完成后，named通过-u参数，将进程的有效用户切换为named普通用户，放弃root特权。
3. 端口绑定后无需再校验权限：Linux内核的规则是，仅在调用bind()系统函数绑定端口时检查用户特权，一旦绑定成功，后续对该套接字的读写、请求处理等操作，即使进程已切换为普通用户，也能正常进行——内核不会再做特权校验。

简单来说，named是先借助root权限完成端口绑定这个关键操作，再降级为普通用户运行，既满足了监听特权端口的需求，又保证了服务运行时的安全性。

内容的提问来源于stack exchange，提问作者Eryk Perzewski