自从美国宣布“净网”行动后,很多对网络有所了解的人的第一反应是,美国人会启动根域名服务器吗?
这种担心不是一年两年了。
2014年6月24日,《人民日报》援引一位专家的话称:“目前,美国掌握着全球互联网13个域名根服务器中的10个。理论上,只要在根服务器上屏蔽了这个国家的域名,这个国家的国家顶级域名网站就可以瞬间在网络上“消失”。从这个意义上说,美国拥有世界上独一无二的互联网控制权,有能力威慑其他国家的网络前沿和网络主权。比如伊拉克战争期间,在美国政府的授意下,顶级域名的申请和解析”。iq”在伊拉克被终止,所有带后缀的网站。智商”从网上消失了。“一个
《信息安全与通信保密》杂志2014年第10期的一篇文章写道:“2004年,由于与利比亚在顶级域名管理上存在争议,美国终止了利比亚顶级域名的解析服务。LY,导致利比亚从网络上消失3天。”2
我们需要害怕这个吗?我们需要什么样的对策?
我不是专家,但我真的回答不了这个问题。
因为需要了解DNS的工作原理和根域名的管理机制。
简单回答一下:不排除这种可能,但也不是不可能。
一句话:虽然根子不在我们手里,但是我们有镜像。
DNS傻瓜书
先了解一些基本概念,懂DNS的可以直接跳过这一节。
1.什么是DNS?
DNS就是把域名转换成IP,因为我们人类的记忆力太差了,根本记不住IP,而计算机通讯必须使用IP,所以我们发明了域名,这样就能记住Baidu.com、taobao.com这样的域名。然后通过DNS把这些域名转换成电脑需要的IP。
2.DNS是如何工作的?
每台计算机都有一个本地DNS服务器(称为l DNS)。需要时,它会向LDNS发出请求。LDNS在互联网上询问权威域名服务器(简称权威DNS)。有时候光问一个是不够的。要绕一大圈才能得到答案。
3.权威DNS是做什么的?
问我一个域名,我告诉你IP,不知道的我告诉你谁可能知道,你可以再问一遍。
4.什么是根域名服务器(简称根DNS)?
当LDNS一无所知(即没有缓存)时,询问根DNS。根可以告诉LDNS下一个该问谁。
5.世界上有多少个域名?
13个,其中美国10个,英国和瑞典各1个,日本1个。
6.根DNS的名称和IP是什么?
在这个网站:https://www.internic.net/domain/named.root
如你所见,里面有13个根名称和IP,它们的名字从A.root-servers.net到M.root-servers.net。
A的开头简称A根,是主根,其他12个(B,C,D,E,F,G,H,I,J,K,L,M)是辅根。
为什么只有13个根DNS?
这一节你不懂也没关系(一般人不懂)。你只需要知道,对于IPv4,由于历史和技术原因,根DNS只能有13个IP。
正宗的回答是:DNS主要是用UDP数据报来传输消息,没有前面的报头。DNS报文要求控制在512字节以内(RFC1035)。主要考虑这个大小在互联网上几乎可以畅通无阻,不会因为路径中某个MTU太小(MTU通常总是gt; = 576,见RFC791)而导致IP碎片,从而防止各种意想不到的后果3。
并且每个根DNS在DNS报文中占用一定数量的字节,比如根的名称、TTL、IP地址等。这样13个根域名服务器基本上就占了差不多的空间,剩下的字节还得用来封装DNS头等协议参数,所以根域名服务器不容易太多,13个是比较合适的数字。可以看一下“为什么要13个DNS根服务器?”这篇文章。四
真的只有13台服务器吗?
和很多人想的完全不一样。这13个根域名服务器不仅仅是13个物理服务器。
这13根只是一个逻辑概念。每个根DNS背后,都有很多真实的物理服务器在工作!
截至2020年8月12日,全球共有1097台根服务器。每个根都有几个镜像,分布在世界的不同地方。
这个数字还在不断上升。去年十月一号,新中国成立70周年阅兵的时候,我看了一下。有1015台服务器。
这13个根由12个独立机构管理。例如,根A和根J都由Verisign管理。截至2020年8月12日,Root A拥有53个站点,Root J在全球拥有185个站点。L Root由ICANN管理,全球共有167个站点,其中北京2个,上海1个。
所有这些根服务器的分布可以在根服务器网站5上找到。从网站显示的根镜像服务器地图(2020年8月12日)来看,北京有5台根镜像服务器,上海1台,杭州2台,武汉1台,郑州1台,西宁1台,贵阳1台,广州1台,香港9台,台北6台。
包括港澳台在内,中国有28个根镜。
事实上,所有在中国提出的根DNS请求都是通过镜像完成的。这个后面会解释。
现在为了增长见识,是时候让你硬着头皮看看一些DNS的细节了。
DNS到底是怎么工作的?
对于IT从业者来说,希望你能理解并牢记这一节的内容。
因为你迟早会遇到关于DNS的困惑。
我先介绍一下域名的级别:
。代表根域名,。com是顶级域名,也叫一级域名,Baidu.com是二级域名,www.baidu.com是三级域名,以此类推。
注意:还有其他名字,只要知道意思就行。
让我们介绍两个最常见的域名服务器:
权威:DNS负责对请求给出权威的回答。DNS中存储有三种记录:A记录(记录域名与其IP的对应关系)、NS记录(记录域名和负责解析该域的权威DNS)、CNAME记录(记录域名及其别名)。如果权威能直接回答,则返回记录A;如果需要其他权威DNS的回答,会返回NS记录,然后LDNS会询问其他权威DNS;如果记录是别名类型,它将被返回到CNAME,LDNS将再次解析别名。
递归DNS:通常是LDNS,它接受终端的域名查询请求,负责在线查询一轮后返回答案给终端。
现在举一个具体的例子:例如,终端请求域名www.baidu.com的IP。
当没有缓存时,LDNS会从根DNS询问:
1.LDNS问根DNS,“www.baidu.com的IP是什么?”。
2.根DNS说:“我怎么照顾你的详细问题?可以问com顶级域的DNS。我只去顶级域名。这里,这些是com顶级域的DNS的名称和IP。你可以问他们”。(回复NS记录)
3.LDNS忙着询问com的权威域名。com的权威DNS说“这是你问的三级域名。我管不了那么多。请询问Baidu.com权威DNS。它的名字叫ns.baidu.com,IP是XXX(这里可能有几个权威的DNS)”。
4.在Baidu.com,LDNS继续询问权威的域名系统。这一次,它很高兴,因为www.baidu.com负责它。它可能会直接给出一个记录或CNAME记录。如果是前者,会直接拿到IP。如果是后者,它需要再次查询别名。
5.最后,LDNS得到www.baidu.com的IP地址,并将其返回给终端。
细心的人会问,LDNS在第一步询问根DNS的时候是怎么知道根DNS的IP的?
这13个IP通常在LDNS预先配置。当LDNS初始化DNS缓存或缓存失败时,LDNS发起根查询(即查询的NS记录)。)到其预先配置的IP之一,并获得最新的根DNS信息6。
对于DNS服务器软件,这13个IP配置在根提示文件中,可以命名为. cache或root.ca或root.hints等。
以上是各种课本都会讲的DNS查询流程,但其实没那么麻烦,因为各级都有缓存。
实际的DNS查询过程如下:
例如,用户在浏览器中输入这个域名:123.abc.qq.com.cn。
1.浏览器会先检查是否有这个域名的缓存。如果有,就直接返回。如果没有,它会询问操作系统,操作系统也会检查自己的缓存。如果有,就直接返回。如果没有,它将转到主机文件并询问LDNS。
2.在123.abc.qq.com.cn,LDNS将查看它是否有任何A记录,如果有,它将直接返回。如果没有,它将查看在abc.qq.com.cn是否有NS记录。如果没有,它将查看在qq.com.cn是否有NS记录。如果有,它会问它。如果没有,它将查看在com.cn是否有任何DNS。如果没有,它将查看cn中是否有DNS。如果cn中没有NS记录,它会询问root。
所以有了缓存,课本上从根上问的情况其实很少发生。
只有在到处都没有缓存的情况下,我们才会去求根。
镜子起什么作用?
镜像承担与根相同的功能。
DNS中最重要的文件是根区域文件。所有TLD记录都存在于根区域文件中。
辅助根从主根同步数据,根镜像从根同步数据。最终,所有的根和镜像都有相同的根文件。
最有趣的是,根镜像与根镜像具有相同的IP。
我们知道全世界有一千多个根像,但大多数人不知道他们一起分享13个IP!没错。因为只有13根。
这是怎么做到的?答案是选播技术。
如果你不在乎技术细节,请直接阅读本节最后一句。
Anycast最初由RFC1546提出,主要用于DNS根服务器。
任播是指在IP网络上通过一个IP地址识别一组提供特定服务的主机。服务访问者不关心哪个主机提供服务。访问此地址的消息可以通过IP网络路由到最近的(最好只有一个,不要发送到多个)服务器。这里的“最近”可以指路由器跳数、服务器负载、服务器吞吐量、客户端和服务器之间的往返时间(RTT)、链路可用带宽等特征值。
这样,一方面用户可以就近访问;另一方面,即使有些根失败了,也没关系。
有些同学可能会想到负载均衡,没错,大致就是这个意思。
对于中国用户来说,对根的请求一般不会去美国,而是通过anycast技术路由到中国的根镜像。
根DNS是如何管理的?
根DNS目前由12个机构管理。Root A是主根,由美国公司Verisign管理。
DNS中最重要的文件,根区域文件,是由ICANN管理的。
ICANN(互联网名称与数字地址分配机构)是1998年在美国注册的非营利组织。
根DNS管理的历史变迁过程还是比较复杂的。这里简单说一下。
DNS最初的技术开发者和管理员是南加州大学的Jon Postel博士,他在互联网早期负责根DNS的管理和分发。
1988年,美国政府要求Jon Postel采取更安全、更合理的措施,确保互联网核心资源的分配和管理。因此,著名的IANA(Internet Assigned Numbers Authority)是根据DARPA和南加州大学信息科学研究所(ISI)之间的合同建立和管理的。
IANA负责管理和协调互联网的全球编号和编码。之所以需要这样的组织,是因为互联网协议的数值或参数必须是全球唯一的,否则无法互联互通。比如HTTP协议默认在端口80等待用户请求,而404编码一致代表“找不到页面”。IANA的主要职责包括分配IP地址段、协议代码和编号(如协议号和端口号)、自治系统号(ASN)、DNS根区域管理(包括通用顶级域名gTLD和国家及地区顶级域名ccTLD的管理)。八
1998年ICANN成立后,美国商务部通过合同委托ICANN负责IANA的日常运营,IANA从ISI转入ICANN。
对于顶级域名的管理,ICANN的政策是,每一个顶级域名(如com、cn、org,目前有1000多个顶级域名)都要找一个托管人,域名的一切事务都要由托管人来处理。
的监护人。cn域名是中国互联网络信息中心(CNNIC),它决定了互联网的各项政策。cn域名。
四个顶级域名。com,。网,。名字和。gov都是由Verisign托管的。
Verisign和ICANN仍然有一些糟糕的时候。九
2003年,威瑞信推出了一项新业务,网站搜索器。访问的用户未注册。com或者。net域名将被定向到Verisign的网站。这意味着它实际上拥有所有未注册的。com和。net域名。几天之内,Verisign就跻身全球十大网站之列。
ICANN要求Verisign立即停止该业务,否则将终止域名托管合同。Verisign让步并停止了这项业务,但随后将ICANN告上法庭,要求法院判决ICANN是否有权干涉其业务。
2006年底,他们达成庭外和解。ICANN同意延长Verisign的顶级域名托管合同,同意Verisign向消费者收取的单个域名注册费上限从6美元提高到7.85美元。这个收费标准一直沿用至今。当你注册一个. com或者。net域名,0.18美元是ICANN收取的管理费,7.85美元是Verisign收取的托管费,其余是域名零售商的费用。
虽然ICANN掌管着IANA,但毕竟是在美国政府的合同管理之下。世界各国和民间对此颇有微词,一致认为美国政府应该彻底退出。
2014年3月14日,美国商务部国家通信和信息管理局(NTIA)宣布愿意将IANA的管理权完全移交给ICANN,并要求ICANN制定移交方案。NTIA特别强调,移交计划应加强多利益攸关方模式,NTIA目前发挥的作用不应被政府间组织或政府主导的组织取代。
2016年3月17日,ICANN向NTIA提交了移交计划。2016年6月9日,NTIA公布了其审核意见,称ICANN提交的移交方案符合此前设定的条件。
2016年8月16日,NTIA宣布不会延长现有合同。
尽管遇到了一些阻碍10,但最终,在2016年10月1日,ICANN与美国商务部之间关于IANA职能的合同到期,没有续签。ICANN完全成为一个独立的非营利组织。IANA员工和其他相关资源转移到PTI(公共技术标识符),这是ICANN的一个新成立的子公司。
ICANN由全球多利益主体治理模式管理。PTI的董事会有五个席位,其中三个由ICANN任命,两个由全球互联网社区代表组成的提名委员会选举产生。2017年2月,ICANN公布了PTI理事选举公告。经过半年多的面试和背景调查,提名委员会于2017年10月26日宣布,中国Beilongzhong.com的王伟与另一位欧洲代表入选。经过又一个半月的利益冲突审查,2017年12月13日,ICANN理事会正式确认王伟当选。11
谁来管理中国的根象?
根据我目前查到的资料,从2003年开始,中国就在不断的推出根镜,尤其是去年,根镜的数量增长很快。
2003年,中国电信引入国内首个根镜像节点(F root)。
2005年,I root服务器运营机构在CNNIC设立了中国第二个根镜像(I root)。
2006年,中国联通(原中国网通)与美国VeriSign公司合作,在中国正式开通J根镜像服务器,同时引入全球最大的两个顶级域名”。com”和”。NET”镜像节点;引入这些镜像的主要目的是提高根域名和顶级域名的解析性能。
2014年,世纪互联与ICANN合作,在中国新增L根域名服务器镜像。
2019年6月24日,工信部批准CNNIC设置6台域名根镜像服务器(F、I、K、L)。6台域名根服务器编号为JX0001F、JX0002F、JX0003I、JX0004K、JX0005L、JX0006L12,批准互联网域名系统北京工程研究中心(ZDNS)设置L根镜像服务器JX0007L13。
2019年11月6日,工信部批准中国信息通信研究院建立L台根镜像服务器,编号分别为JX0008L和JX0009L。
2019年12月5日,工业和信息化部批准中国信息通信研究院设立域名根服务器(K根镜像服务器),编号为JX0010K。
2019年12月9日,工业和信息化部批准CNNIC设立域名根服务器(J和K根镜像服务器),编号分别为JX0011J和JX0012K。
从工信部的批复可以了解到,相关单位负责根镜像的运行、维护和管理,维护国家利益和用户权益,接受工信部的管理、监督和检查。
工业和信息化部给CNNIC的批复中写道:“你中心应严格遵守《互联网域名管理办法》、《通信网络安全保护管理办法》及相关法律、法规、行政规章和行业管理规定,接受我部的管理、监督和检查, 建立符合我部要求的信息管理系统,并与我部指定的管理系统连接,确保域名根服务器安全可靠运行,为用户提供安全便捷的域名服务,保证服务质量,保护用户个人信息。
美国能用根DNS做什么?
虽然ICANN是一个独立的非营利组织,但如果美国政府使用强制力,Root A(主根)的内容仍可能被篡改。
也就是说,根文件可能被篡改。
会如何被篡改?
让我们先看看根文件是什么样子的。
你可以从ICANN官方网站下载根文件:https://www.iana.org/domains/root/files
这个文件保存了所有顶级域名的信息,目前大小为2.2M,2万多行。
只要顶级域名发生变化,该文件就会更新。
我们可以看到cn域名解析相关的记录只有几十条。
如果删除那些与cn相关的行,很快就会同步到所有的根。
然后,在所有缓存过期后,世界上的每个人都无法使用访问网站。cn后缀。
怎么处理?
因为我们维护根镜像,所以我们控制镜像中的内容。
但是,通过我们的运营商对中国根的访问将取决于对中国根镜像的访问。
我们不能同步cn的变化。
就这么简单。
您可以简单地编写一个程序,并在每次同步后立即添加cn记录。
也可以建立自己的主根,和美国根完全不同步。(相当于再成立一个中央委员会)
当然,如果不采取措施,不在我们管理之下的根和根镜像仍然会同步这些删除。
然后,其他国家的人就不能访问了。cn网站除了中国自己。
然而,这些国家很快就会做出回应。所有想参观的国家。cn网站将加回cn记录,拒绝同步被美国删除的线路。
最后,只有美国人不能访问。cn网站。
综上所述,我认为美国这样做是不可能的,因为这一招太低劣了,会彻底羞辱美国政府,失去未来在互联网领域的任何话语权。ICANN也会失去公信力,整个互联网世界都会选择使用新的机构和新的根。
因为互联网世界的一贯规则是:有禁令就绕过。
附言
最后,我们来看看本文开头提到的两起断网事件:
关于伊拉克域名事件,可以看看清华大学段海鑫教授的文章:《删除伊拉克域名的背后。美国的智商和早期的根域名管理”,这清楚地解释了整个事件。主要原因是前行政长官。智商域名2002年入狱,新管理员(NCMC)2005年才申请。当时,IANA还考虑寻求新老代理人对新授权的一致认可,于是出现了所谓“申请和决议工作被终止”的情况。
关于利比亚域名事件,可以看这篇文章:《利比亚国家顶级域名(.LY)”。事实是两个机构之间明争暗斗的结果。LY(其中一个关闭了的决议。LY域名服务器)。在这场混乱之后,ICANN批准了。2004年10月向利比亚邮政和电信公司撒谎。谎言事件得到解决。
本文提到的风险和对策主要是我个人的分析。我们来看看业内专家的看法。
中国工程院院士、清华大学计算机系主任吴建平在2019年接受采访时表示,DNS根域名服务器不是互联网的“核按钮”。全局根域名服务器操作员不能同时关闭所有根服务器,包括影子服务器。
互联网域名系统北京工程研究中心(ZDNS)主任毛伟15日表示:互联网专家一直在不断完善域名根系统的安全机制。即使“根”真的断了,也有应急方案。在中国,根区域数据备份和应急根服务器可以用来解决这个问题。在全球层面,可以通过根镜像、IPv6环境下根服务器数量的扩大、根服务器运行机制的替代机制等方式解决。
现在知道了这么多,你对根域名服务器放心了吗?
作者:魏健钒
参考资料:
从网络大国到网络强国(http://opinion . people . com . cn/n/2014/0624/c10025189448 . html)美国网络霸权分析(http://www.wanfangdata.com.cn/details/detail.do?_ type = perio ampId=xxaqytxbm201410030)为什么域名只能有13个根服务器?(https://www.zhihu.com/question/22587247)为什么有13个DNS根服务器?(https://miek.nl/2013/november/10/why-1dns-root-servers/)https://root-servers.org用启动查询初始化一个DNS解析器(https://Tools.ietf.org/html/draft-ietf-dnsop-resolver-priming-11)洪雪:全球互联网治理新篇章(https://zhuanlan.zhihu.com/p/23042167)ICANN:IANA Functions(https://www . ICANN . org/zh/system/files/files/IANA-Functions-18 dec 15-zh . pdf)阮一峰:根域名的认识徐佩熙:IANA功能管理的转移谁是赢家?北龙中网王伟担任PTI董事。中国专家在国际互联网治理中担任关键职务(http://News.sina.com.cn/c/2017-125/doc-ifypwzxq6350205.shtml)工业和信息化部关于同意中国互联网络信息中心设立域名根服务器(F、I、K、L根镜像服务器)和域名根服务器运行机构(http://www.miit.gov.cn/n1146285/ n 1146352/n 3054355/n 3057709/n 4704651/c 7015545/content . html)的批复工业和信息化部关于同意京工研 Ltd .设立域名根服务器(L根镜像服务器)及其运营机构(http://www.miit.gov.cn/ n 1146285/n 1146352/n 3054355/n 3057709/n 4704651/c 7015527/content . html)中国工程院院士吴建平:DNS根服务器不是互联网的核按钮! ZDNS毛伟:互联网根不能切断中国的网络,但更应关注企业域名服务的风险。
评论前必须登录!
注册