2014年1月21日，中國互聯(lián)網(wǎng)經(jīng)歷了一次影響深遠(yuǎn)的域名系統(tǒng)（DNS）故障，導(dǎo)致全國范圍內(nèi)大量網(wǎng)站訪問異常。這次事件并非源于互聯(lián)網(wǎng)域名注冊服務(wù)本身的問題，而是由更深層的技術(shù)原因和網(wǎng)絡(luò)配置問題共同引發(fā)的。
事件回顧
在當(dāng)日下午15:10左右，國內(nèi)眾多互聯(lián)網(wǎng)用戶發(fā)現(xiàn)無法正常訪問以.com、.net等國際頂級域結(jié)尾的網(wǎng)站，而.cn等國內(nèi)域名基本不受影響。故障持續(xù)了數(shù)小時(shí)，波及范圍廣泛，引起了廣泛關(guān)注。
根本原因分析
此次故障的核心原因是針對根域名服務(wù)器的網(wǎng)絡(luò)攻擊與本地DNS配置問題相互疊加。
- 網(wǎng)絡(luò)攻擊導(dǎo)致根域名服務(wù)器污染：當(dāng)時(shí)，針對全球根域名服務(wù)器的DDoS（分布式拒絕服務(wù)）攻擊異常活躍。根域名服務(wù)器是DNS系統(tǒng)的最高層級，負(fù)責(zé)指引查詢指向正確的頂級域服務(wù)器。攻擊導(dǎo)致部分根服務(wù)器響應(yīng)異常或延遲。
- 關(guān)鍵環(huán)節(jié)的“意外”故障：更為直接的原因是，國內(nèi)部分重要的遞歸DNS服務(wù)器（即用戶直接使用的DNS服務(wù)器，如運(yùn)營商提供的公共DNS）在解析國際域名時(shí)，依賴于一些特定的根服務(wù)器鏡像或轉(zhuǎn)發(fā)設(shè)置。由于前述攻擊和潛在的配置策略，這些服務(wù)器在向根服務(wù)器查詢時(shí)，收到了大量錯(cuò)誤的、指向一個(gè)不存在的IP地址（65.49.2.178）的響應(yīng)。
- DNS緩存污染：遞歸DNS服務(wù)器將這些錯(cuò)誤信息緩存下來，并根據(jù)TTL（生存時(shí)間）在一定時(shí)間內(nèi)持續(xù)向用戶提供這個(gè)錯(cuò)誤的解析結(jié)果。這意味著，即使攻擊間歇或停止，在緩存過期前，用戶仍無法正常訪問網(wǎng)站。用戶本地DNS緩存同樣會(huì)記錄此錯(cuò)誤，加劇了問題。
為什么“.cn”域名未受影響？
這是因?yàn)?cn域名的頂級域服務(wù)器主要位于中國境內(nèi)，其解析過程不依賴于此次事件中受影響最大的那部分國際根域名服務(wù)器鏈路，因此避開了故障點(diǎn)。
與“互聯(lián)網(wǎng)域名注冊服務(wù)”的關(guān)系
需要明確的是，此次故障與互聯(lián)網(wǎng)域名注冊服務(wù)（即域名的購買、持有和管理服務(wù)）無直接關(guān)系。域名注冊服務(wù)負(fù)責(zé)的是域名所有權(quán)的記錄和維護(hù)，而DNS解析故障是域名系統(tǒng)在“翻譯”域名到IP地址這一環(huán)節(jié)出現(xiàn)的問題。所有已注冊的域名記錄本身并未被篡改或刪除，只是在解析過程中被錯(cuò)誤地引導(dǎo)了。
事件的影響與啟示
- 暴露了單一依賴的風(fēng)險(xiǎn)：事件凸顯了我國互聯(lián)網(wǎng)在關(guān)鍵基礎(chǔ)設(shè)施上對境外根服務(wù)器的依賴所帶來的脆弱性。
- 推動(dòng)了國內(nèi)DNS基礎(chǔ)設(shè)施發(fā)展：此次事件后，國內(nèi)加速部署了更多根服務(wù)器鏡像（如L根鏡像），并大力推廣使用國內(nèi)可信的公共DNS服務(wù)（如114DNS、阿里DNS等），提升了國內(nèi)解析的自主性和抗干擾能力。
- 提升了行業(yè)與公眾的DNS安全意識(shí)：讓更多網(wǎng)絡(luò)服務(wù)提供商和企業(yè)認(rèn)識(shí)到冗余DNS配置、本地DNS緩存設(shè)置以及應(yīng)急響應(yīng)機(jī)制的重要性。
###
2014年的這次DNS大故障，是一次由外部網(wǎng)絡(luò)攻擊與內(nèi)部系統(tǒng)配置策略共同導(dǎo)致的重大網(wǎng)絡(luò)事故。它深刻地提醒我們，作為互聯(lián)網(wǎng)基礎(chǔ)尋址系統(tǒng)的DNS，其安全與穩(wěn)定至關(guān)重要。此次事件也成為了中國加強(qiáng)互聯(lián)網(wǎng)基礎(chǔ)資源建設(shè)、構(gòu)建更具韌性的網(wǎng)絡(luò)空間環(huán)境的一個(gè)重要催化劑。
