如果美国屏蔽根域名服务器，中国会从网络上消失吗？

自从美国宣布“净网”行动后，很多对网络有所了解的人的第一反应是，美国人会启动根域名服务器吗？

这种担心不是一年两年了。

2014年6月24日，《人民日报》援引一位专家的话称:“目前，美国掌握着全球互联网13个域名根服务器中的10个。理论上，只要在根服务器上屏蔽了这个国家的域名，这个国家的国家顶级域名网站就可以瞬间在网络上“消失”。从这个意义上说，美国拥有世界上独一无二的互联网控制权，有能力威慑其他国家的网络前沿和网络主权。比如伊拉克战争期间，在美国政府的授意下，顶级域名的申请和解析”。iq”在伊拉克被终止，所有带后缀的网站。智商”从网上消失了。“一个

《信息安全与通信保密》杂志2014年第10期的一篇文章写道:“2004年，由于与利比亚在顶级域名管理上存在争议，美国终止了利比亚顶级域名的解析服务。LY，导致利比亚从网络上消失3天。”2

我们需要害怕这个吗？我们需要什么样的对策？

我不是专家，但我真的回答不了这个问题。

因为需要了解DNS的工作原理和根域名的管理机制。

简单回答一下:不排除这种可能，但也不是不可能。

一句话:虽然根子不在我们手里，但是我们有镜像。

DNS傻瓜书

先了解一些基本概念，懂DNS的可以直接跳过这一节。

1.什么是DNS？

DNS就是把域名转换成IP，因为我们人类的记忆力太差了，根本记不住IP，而计算机通讯必须使用IP，所以我们发明了域名，这样就能记住Baidu.com、taobao.com这样的域名。然后通过DNS把这些域名转换成电脑需要的IP。

2.DNS是如何工作的？

每台计算机都有一个本地DNS服务器(称为l DNS)。需要时，它会向LDNS发出请求。LDNS在互联网上询问权威域名服务器(简称权威DNS)。有时候光问一个是不够的。要绕一大圈才能得到答案。

3.权威DNS是做什么的？

问我一个域名，我告诉你IP，不知道的我告诉你谁可能知道，你可以再问一遍。

4.什么是根域名服务器(简称根DNS)？

当LDNS一无所知(即没有缓存)时，询问根DNS。根可以告诉LDNS下一个该问谁。

5.世界上有多少个域名？

13个，其中美国10个，英国和瑞典各1个，日本1个。

6.根DNS的名称和IP是什么？

在这个网站:https://www.internic.net/domain/named.root

如你所见，里面有13个根名称和IP，它们的名字从A.root-servers.net到M.root-servers.net。

A的开头简称A根，是主根，其他12个(B，C，D，E，F，G，H，I，J，K，L，M)是辅根。

为什么只有13个根DNS？

这一节你不懂也没关系(一般人不懂)。你只需要知道，对于IPv4，由于历史和技术原因，根DNS只能有13个IP。

正宗的回答是:DNS主要是用UDP数据报来传输消息，没有前面的报头。DNS报文要求控制在512字节以内(RFC1035)。主要考虑这个大小在互联网上几乎可以畅通无阻，不会因为路径中某个MTU太小(MTU通常总是gt; = 576，见RFC791)而导致IP碎片，从而防止各种意想不到的后果3。

并且每个根DNS在DNS报文中占用一定数量的字节，比如根的名称、TTL、IP地址等。这样13个根域名服务器基本上就占了差不多的空间，剩下的字节还得用来封装DNS头等协议参数，所以根域名服务器不容易太多，13个是比较合适的数字。可以看一下“为什么要13个DNS根服务器？”这篇文章。四

真的只有13台服务器吗？

和很多人想的完全不一样。这13个根域名服务器不仅仅是13个物理服务器。

这13根只是一个逻辑概念。每个根DNS背后，都有很多真实的物理服务器在工作！

截至2020年8月12日，全球共有1097台根服务器。每个根都有几个镜像，分布在世界的不同地方。

这个数字还在不断上升。去年十月一号，新中国成立70周年阅兵的时候，我看了一下。有1015台服务器。

这13个根由12个独立机构管理。例如，根A和根J都由Verisign管理。截至2020年8月12日，Root A拥有53个站点，Root J在全球拥有185个站点。L Root由ICANN管理，全球共有167个站点，其中北京2个，上海1个。

所有这些根服务器的分布可以在根服务器网站5上找到。从网站显示的根镜像服务器地图(2020年8月12日)来看，北京有5台根镜像服务器，上海1台，杭州2台，武汉1台，郑州1台，西宁1台，贵阳1台，广州1台，香港9台，台北6台。

包括港澳台在内，中国有28个根镜。

事实上，所有在中国提出的根DNS请求都是通过镜像完成的。这个后面会解释。

现在为了增长见识，是时候让你硬着头皮看看一些DNS的细节了。

DNS到底是怎么工作的？

对于IT从业者来说，希望你能理解并牢记这一节的内容。

因为你迟早会遇到关于DNS的困惑。

我先介绍一下域名的级别:

。代表根域名，。com是顶级域名，也叫一级域名，Baidu.com是二级域名，www.baidu.com是三级域名，以此类推。

注意:还有其他名字，只要知道意思就行。

让我们介绍两个最常见的域名服务器:

权威:DNS负责对请求给出权威的回答。DNS中存储有三种记录:A记录(记录域名与其IP的对应关系)、NS记录(记录域名和负责解析该域的权威DNS)、CNAME记录(记录域名及其别名)。如果权威能直接回答，则返回记录A；如果需要其他权威DNS的回答，会返回NS记录，然后LDNS会询问其他权威DNS；如果记录是别名类型，它将被返回到CNAME，LDNS将再次解析别名。

递归DNS:通常是LDNS，它接受终端的域名查询请求，负责在线查询一轮后返回答案给终端。

现在举一个具体的例子:例如，终端请求域名www.baidu.com的IP。

当没有缓存时，LDNS会从根DNS询问:

1.LDNS问根DNS，“www.baidu.com的IP是什么？”。

2.根DNS说:“我怎么照顾你的详细问题？可以问com顶级域的DNS。我只去顶级域名。这里，这些是com顶级域的DNS的名称和IP。你可以问他们”。(回复NS记录)

3.LDNS忙着询问com的权威域名。com的权威DNS说“这是你问的三级域名。我管不了那么多。请询问Baidu.com权威DNS。它的名字叫ns.baidu.com，IP是XXX(这里可能有几个权威的DNS)”。

4.在Baidu.com，LDNS继续询问权威的域名系统。这一次，它很高兴，因为www.baidu.com负责它。它可能会直接给出一个记录或CNAME记录。如果是前者，会直接拿到IP。如果是后者，它需要再次查询别名。

5.最后，LDNS得到www.baidu.com的IP地址，并将其返回给终端。

细心的人会问，LDNS在第一步询问根DNS的时候是怎么知道根DNS的IP的？

这13个IP通常在LDNS预先配置。当LDNS初始化DNS缓存或缓存失败时，LDNS发起根查询(即查询的NS记录)。)到其预先配置的IP之一，并获得最新的根DNS信息6。

对于DNS服务器软件，这13个IP配置在根提示文件中，可以命名为. cache或root.ca或root.hints等。

以上是各种课本都会讲的DNS查询流程，但其实没那么麻烦，因为各级都有缓存。

实际的DNS查询过程如下:

例如，用户在浏览器中输入这个域名:123.abc.qq.com.cn。

1.浏览器会先检查是否有这个域名的缓存。如果有，就直接返回。如果没有，它会询问操作系统，操作系统也会检查自己的缓存。如果有，就直接返回。如果没有，它将转到主机文件并询问LDNS。

2.在123.abc.qq.com.cn，LDNS将查看它是否有任何A记录，如果有，它将直接返回。如果没有，它将查看在abc.qq.com.cn是否有NS记录。如果没有，它将查看在qq.com.cn是否有NS记录。如果有，它会问它。如果没有，它将查看在com.cn是否有任何DNS。如果没有，它将查看cn中是否有DNS。如果cn中没有NS记录，它会询问root。

所以有了缓存，课本上从根上问的情况其实很少发生。

只有在到处都没有缓存的情况下，我们才会去求根。

镜子起什么作用？

镜像承担与根相同的功能。

DNS中最重要的文件是根区域文件。所有TLD记录都存在于根区域文件中。

辅助根从主根同步数据，根镜像从根同步数据。最终，所有的根和镜像都有相同的根文件。

最有趣的是，根镜像与根镜像具有相同的IP。

我们知道全世界有一千多个根像，但大多数人不知道他们一起分享13个IP！没错。因为只有13根。

这是怎么做到的？答案是选播技术。

如果你不在乎技术细节，请直接阅读本节最后一句。

Anycast最初由RFC1546提出，主要用于DNS根服务器。

任播是指在IP网络上通过一个IP地址识别一组提供特定服务的主机。服务访问者不关心哪个主机提供服务。访问此地址的消息可以通过IP网络路由到最近的(最好只有一个，不要发送到多个)服务器。这里的“最近”可以指路由器跳数、服务器负载、服务器吞吐量、客户端和服务器之间的往返时间(RTT)、链路可用带宽等特征值。

这样，一方面用户可以就近访问；另一方面，即使有些根失败了，也没关系。

有些同学可能会想到负载均衡，没错，大致就是这个意思。

对于中国用户来说，对根的请求一般不会去美国，而是通过anycast技术路由到中国的根镜像。

根DNS是如何管理的？

根DNS目前由12个机构管理。Root A是主根，由美国公司Verisign管理。

DNS中最重要的文件，根区域文件，是由ICANN管理的。

ICANN(互联网名称与数字地址分配机构)是1998年在美国注册的非营利组织。

根DNS管理的历史变迁过程还是比较复杂的。这里简单说一下。

DNS最初的技术开发者和管理员是南加州大学的Jon Postel博士，他在互联网早期负责根DNS的管理和分发。

1988年，美国政府要求Jon Postel采取更安全、更合理的措施，确保互联网核心资源的分配和管理。因此，著名的IANA(Internet Assigned Numbers Authority)是根据DARPA和南加州大学信息科学研究所(ISI)之间的合同建立和管理的。

IANA负责管理和协调互联网的全球编号和编码。之所以需要这样的组织，是因为互联网协议的数值或参数必须是全球唯一的，否则无法互联互通。比如HTTP协议默认在端口80等待用户请求，而404编码一致代表“找不到页面”。IANA的主要职责包括分配IP地址段、协议代码和编号(如协议号和端口号)、自治系统号(ASN)、DNS根区域管理(包括通用顶级域名gTLD和国家及地区顶级域名ccTLD的管理)。八

1998年ICANN成立后，美国商务部通过合同委托ICANN负责IANA的日常运营，IANA从ISI转入ICANN。

对于顶级域名的管理，ICANN的政策是，每一个顶级域名(如com、cn、org，目前有1000多个顶级域名)都要找一个托管人，域名的一切事务都要由托管人来处理。

的监护人。cn域名是中国互联网络信息中心(CNNIC)，它决定了互联网的各项政策。cn域名。

四个顶级域名。com，。网，。名字和。gov都是由Verisign托管的。

Verisign和ICANN仍然有一些糟糕的时候。九

2003年，威瑞信推出了一项新业务，网站搜索器。访问的用户未注册。com或者。net域名将被定向到Verisign的网站。这意味着它实际上拥有所有未注册的。com和。net域名。几天之内，Verisign就跻身全球十大网站之列。

ICANN要求Verisign立即停止该业务，否则将终止域名托管合同。Verisign让步并停止了这项业务，但随后将ICANN告上法庭，要求法院判决ICANN是否有权干涉其业务。

2006年底，他们达成庭外和解。ICANN同意延长Verisign的顶级域名托管合同，同意Verisign向消费者收取的单个域名注册费上限从6美元提高到7.85美元。这个收费标准一直沿用至今。当你注册一个. com或者。net域名，0.18美元是ICANN收取的管理费，7.85美元是Verisign收取的托管费，其余是域名零售商的费用。

虽然ICANN掌管着IANA，但毕竟是在美国政府的合同管理之下。世界各国和民间对此颇有微词，一致认为美国政府应该彻底退出。

2014年3月14日，美国商务部国家通信和信息管理局(NTIA)宣布愿意将IANA的管理权完全移交给ICANN，并要求ICANN制定移交方案。NTIA特别强调，移交计划应加强多利益攸关方模式，NTIA目前发挥的作用不应被政府间组织或政府主导的组织取代。

2016年3月17日，ICANN向NTIA提交了移交计划。2016年6月9日，NTIA公布了其审核意见，称ICANN提交的移交方案符合此前设定的条件。

2016年8月16日，NTIA宣布不会延长现有合同。

尽管遇到了一些阻碍10，但最终，在2016年10月1日，ICANN与美国商务部之间关于IANA职能的合同到期，没有续签。ICANN完全成为一个独立的非营利组织。IANA员工和其他相关资源转移到PTI(公共技术标识符)，这是ICANN的一个新成立的子公司。

ICANN由全球多利益主体治理模式管理。PTI的董事会有五个席位，其中三个由ICANN任命，两个由全球互联网社区代表组成的提名委员会选举产生。2017年2月，ICANN公布了PTI理事选举公告。经过半年多的面试和背景调查，提名委员会于2017年10月26日宣布，中国Beilongzhong.com的王伟与另一位欧洲代表入选。经过又一个半月的利益冲突审查，2017年12月13日，ICANN理事会正式确认王伟当选。11

谁来管理中国的根象？

根据我目前查到的资料，从2003年开始，中国就在不断的推出根镜，尤其是去年，根镜的数量增长很快。

2003年，中国电信引入国内首个根镜像节点(F root)。

2005年，I root服务器运营机构在CNNIC设立了中国第二个根镜像(I root)。

2006年，中国联通(原中国网通)与美国VeriSign公司合作，在中国正式开通J根镜像服务器，同时引入全球最大的两个顶级域名”。com”和”。NET”镜像节点；引入这些镜像的主要目的是提高根域名和顶级域名的解析性能。

2014年，世纪互联与ICANN合作，在中国新增L根域名服务器镜像。

2019年6月24日，工信部批准CNNIC设置6台域名根镜像服务器(F、I、K、L)。6台域名根服务器编号为JX0001F、JX0002F、JX0003I、JX0004K、JX0005L、JX0006L12，批准互联网域名系统北京工程研究中心(ZDNS)设置L根镜像服务器JX0007L13。

2019年11月6日，工信部批准中国信息通信研究院建立L台根镜像服务器，编号分别为JX0008L和JX0009L。

2019年12月5日，工业和信息化部批准中国信息通信研究院设立域名根服务器(K根镜像服务器)，编号为JX0010K。

2019年12月9日，工业和信息化部批准CNNIC设立域名根服务器(J和K根镜像服务器)，编号分别为JX0011J和JX0012K。

从工信部的批复可以了解到，相关单位负责根镜像的运行、维护和管理，维护国家利益和用户权益，接受工信部的管理、监督和检查。

工业和信息化部给CNNIC的批复中写道:“你中心应严格遵守《互联网域名管理办法》、《通信网络安全保护管理办法》及相关法律、法规、行政规章和行业管理规定，接受我部的管理、监督和检查， 建立符合我部要求的信息管理系统，并与我部指定的管理系统连接，确保域名根服务器安全可靠运行，为用户提供安全便捷的域名服务，保证服务质量，保护用户个人信息。

美国能用根DNS做什么？

虽然ICANN是一个独立的非营利组织，但如果美国政府使用强制力，Root A(主根)的内容仍可能被篡改。

也就是说，根文件可能被篡改。

会如何被篡改？

让我们先看看根文件是什么样子的。

你可以从ICANN官方网站下载根文件:https://www.iana.org/domains/root/files

这个文件保存了所有顶级域名的信息，目前大小为2.2M，2万多行。

只要顶级域名发生变化，该文件就会更新。

我们可以看到cn域名解析相关的记录只有几十条。

如果删除那些与cn相关的行，很快就会同步到所有的根。

然后，在所有缓存过期后，世界上的每个人都无法使用访问网站。cn后缀。

怎么处理？

因为我们维护根镜像，所以我们控制镜像中的内容。

但是，通过我们的运营商对中国根的访问将取决于对中国根镜像的访问。

我们不能同步cn的变化。

就这么简单。

您可以简单地编写一个程序，并在每次同步后立即添加cn记录。

也可以建立自己的主根，和美国根完全不同步。(相当于再成立一个中央委员会)

当然，如果不采取措施，不在我们管理之下的根和根镜像仍然会同步这些删除。

然后，其他国家的人就不能访问了。cn网站除了中国自己。

然而，这些国家很快就会做出回应。所有想参观的国家。cn网站将加回cn记录，拒绝同步被美国删除的线路。

最后，只有美国人不能访问。cn网站。

综上所述，我认为美国这样做是不可能的，因为这一招太低劣了，会彻底羞辱美国政府，失去未来在互联网领域的任何话语权。ICANN也会失去公信力，整个互联网世界都会选择使用新的机构和新的根。

因为互联网世界的一贯规则是:有禁令就绕过。

附言

最后，我们来看看本文开头提到的两起断网事件:

关于伊拉克域名事件，可以看看清华大学段海鑫教授的文章:《删除伊拉克域名的背后。美国的智商和早期的根域名管理”，这清楚地解释了整个事件。主要原因是前行政长官。智商域名2002年入狱，新管理员(NCMC)2005年才申请。当时，IANA还考虑寻求新老代理人对新授权的一致认可，于是出现了所谓“申请和决议工作被终止”的情况。

关于利比亚域名事件，可以看这篇文章:《利比亚国家顶级域名(.LY)”。事实是两个机构之间明争暗斗的结果。LY(其中一个关闭了的决议。LY域名服务器)。在这场混乱之后，ICANN批准了。2004年10月向利比亚邮政和电信公司撒谎。谎言事件得到解决。

本文提到的风险和对策主要是我个人的分析。我们来看看业内专家的看法。

中国工程院院士、清华大学计算机系主任吴建平在2019年接受采访时表示，DNS根域名服务器不是互联网的“核按钮”。全局根域名服务器操作员不能同时关闭所有根服务器，包括影子服务器。

互联网域名系统北京工程研究中心(ZDNS)主任毛伟15日表示:互联网专家一直在不断完善域名根系统的安全机制。即使“根”真的断了，也有应急方案。在中国，根区域数据备份和应急根服务器可以用来解决这个问题。在全球层面，可以通过根镜像、IPv6环境下根服务器数量的扩大、根服务器运行机制的替代机制等方式解决。

现在知道了这么多，你对根域名服务器放心了吗？

作者:魏健钒

参考资料:

从网络大国到网络强国(http://opinion . people . com . cn/n/2014/0624/c10025189448 . html)美国网络霸权分析(http://www.wanfangdata.com.cn/details/detail.do？_ type = perio ampId=xxaqytxbm201410030)为什么域名只能有13个根服务器？(https://www.zhihu.com/question/22587247)为什么有13个DNS根服务器？(https://miek.nl/2013/november/10/why-1dns-root-servers/)https://root-servers.org用启动查询初始化一个DNS解析器(https://Tools.ietf.org/html/draft-ietf-dnsop-resolver-priming-11)洪雪:全球互联网治理新篇章(https://zhuanlan.zhihu.com/p/23042167)ICANN:IANA Functions(https://www . ICANN . org/zh/system/files/files/IANA-Functions-18 dec 15-zh . pdf)阮一峰:根域名的认识徐佩熙:IANA功能管理的转移谁是赢家？北龙中网王伟担任PTI董事。中国专家在国际互联网治理中担任关键职务(http://News.sina.com.cn/c/2017-125/doc-ifypwzxq6350205.shtml)工业和信息化部关于同意中国互联网络信息中心设立域名根服务器(F、I、K、L根镜像服务器)和域名根服务器运行机构(http://www.miit.gov.cn/n1146285/ n 1146352/n 3054355/n 3057709/n 4704651/c 7015545/content . html)的批复工业和信息化部关于同意京工研 Ltd .设立域名根服务器(L根镜像服务器)及其运营机构(http://www.miit.gov.cn/ n 1146285/n 1146352/n 3054355/n 3057709/n 4704651/c 7015527/content . html)中国工程院院士吴建平:DNS根服务器不是互联网的核按钮！ ZDNS毛伟:互联网根不能切断中国的网络，但更应关注企业域名服务的风险。