2014年1月21日，中國(guó)互聯(lián)網(wǎng)經(jīng)歷了一次影響深遠(yuǎn)的域名系統(tǒng)（DNS）故障，導(dǎo)致全國(guó)范圍內(nèi)大量網(wǎng)站訪(fǎng)問(wèn)異常。這次事件并非源于互聯(lián)網(wǎng)域名注冊(cè)服務(wù)本身的問(wèn)題，而是由更深層的技術(shù)原因和網(wǎng)絡(luò)配置問(wèn)題共同引發(fā)的。
事件回顧
在當(dāng)日下午15:10左右，國(guó)內(nèi)眾多互聯(lián)網(wǎng)用戶(hù)發(fā)現(xiàn)無(wú)法正常訪(fǎng)問(wèn)以.com、.net等國(guó)際頂級(jí)域結(jié)尾的網(wǎng)站，而.cn等國(guó)內(nèi)域名基本不受影響。故障持續(xù)了數(shù)小時(shí)，波及范圍廣泛，引起了廣泛關(guān)注。
根本原因分析
此次故障的核心原因是針對(duì)根域名服務(wù)器的網(wǎng)絡(luò)攻擊與本地DNS配置問(wèn)題相互疊加。
- 網(wǎng)絡(luò)攻擊導(dǎo)致根域名服務(wù)器污染：當(dāng)時(shí)，針對(duì)全球根域名服務(wù)器的DDoS（分布式拒絕服務(wù)）攻擊異常活躍。根域名服務(wù)器是DNS系統(tǒng)的最高層級(jí)，負(fù)責(zé)指引查詢(xún)指向正確的頂級(jí)域服務(wù)器。攻擊導(dǎo)致部分根服務(wù)器響應(yīng)異?；蜓舆t。
- 關(guān)鍵環(huán)節(jié)的“意外”故障：更為直接的原因是，國(guó)內(nèi)部分重要的遞歸DNS服務(wù)器（即用戶(hù)直接使用的DNS服務(wù)器，如運(yùn)營(yíng)商提供的公共DNS）在解析國(guó)際域名時(shí)，依賴(lài)于一些特定的根服務(wù)器鏡像或轉(zhuǎn)發(fā)設(shè)置。由于前述攻擊和潛在的配置策略，這些服務(wù)器在向根服務(wù)器查詢(xún)時(shí)，收到了大量錯(cuò)誤的、指向一個(gè)不存在的IP地址（65.49.2.178）的響應(yīng)。
- DNS緩存污染：遞歸DNS服務(wù)器將這些錯(cuò)誤信息緩存下來(lái)，并根據(jù)TTL（生存時(shí)間）在一定時(shí)間內(nèi)持續(xù)向用戶(hù)提供這個(gè)錯(cuò)誤的解析結(jié)果。這意味著，即使攻擊間歇或停止，在緩存過(guò)期前，用戶(hù)仍無(wú)法正常訪(fǎng)問(wèn)網(wǎng)站。用戶(hù)本地DNS緩存同樣會(huì)記錄此錯(cuò)誤，加劇了問(wèn)題。
為什么“.cn”域名未受影響？
這是因?yàn)?cn域名的頂級(jí)域服務(wù)器主要位于中國(guó)境內(nèi)，其解析過(guò)程不依賴(lài)于此次事件中受影響最大的那部分國(guó)際根域名服務(wù)器鏈路，因此避開(kāi)了故障點(diǎn)。
與“互聯(lián)網(wǎng)域名注冊(cè)服務(wù)”的關(guān)系
需要明確的是，此次故障與互聯(lián)網(wǎng)域名注冊(cè)服務(wù)（即域名的購(gòu)買(mǎi)、持有和管理服務(wù)）無(wú)直接關(guān)系。域名注冊(cè)服務(wù)負(fù)責(zé)的是域名所有權(quán)的記錄和維護(hù)，而DNS解析故障是域名系統(tǒng)在“翻譯”域名到IP地址這一環(huán)節(jié)出現(xiàn)的問(wèn)題。所有已注冊(cè)的域名記錄本身并未被篡改或刪除，只是在解析過(guò)程中被錯(cuò)誤地引導(dǎo)了。
事件的影響與啟示
- 暴露了單一依賴(lài)的風(fēng)險(xiǎn)：事件凸顯了我國(guó)互聯(lián)網(wǎng)在關(guān)鍵基礎(chǔ)設(shè)施上對(duì)境外根服務(wù)器的依賴(lài)所帶來(lái)的脆弱性。
- 推動(dòng)了國(guó)內(nèi)DNS基礎(chǔ)設(shè)施發(fā)展：此次事件后，國(guó)內(nèi)加速部署了更多根服務(wù)器鏡像（如L根鏡像），并大力推廣使用國(guó)內(nèi)可信的公共DNS服務(wù)（如114DNS、阿里DNS等），提升了國(guó)內(nèi)解析的自主性和抗干擾能力。
- 提升了行業(yè)與公眾的DNS安全意識(shí)：讓更多網(wǎng)絡(luò)服務(wù)提供商和企業(yè)認(rèn)識(shí)到冗余DNS配置、本地DNS緩存設(shè)置以及應(yīng)急響應(yīng)機(jī)制的重要性。
###
2014年的這次DNS大故障，是一次由外部網(wǎng)絡(luò)攻擊與內(nèi)部系統(tǒng)配置策略共同導(dǎo)致的重大網(wǎng)絡(luò)事故。它深刻地提醒我們，作為互聯(lián)網(wǎng)基礎(chǔ)尋址系統(tǒng)的DNS，其安全與穩(wěn)定至關(guān)重要。此次事件也成為了中國(guó)加強(qiáng)互聯(lián)網(wǎng)基礎(chǔ)資源建設(shè)、構(gòu)建更具韌性的網(wǎng)絡(luò)空間環(huán)境的一個(gè)重要催化劑。
