域名國家工程研究中心主任毛偉解讀.net”斷網(wǎng)”事件

2020年1月23日，互聯(lián)網(wǎng)頂級(jí)域名“.net”在F根服務(wù)器（由互聯(lián)網(wǎng)基礎(chǔ)軟件研發(fā)機(jī)構(gòu)ISC運(yùn)行）以及E根（由美國國家航空航天局運(yùn)行）的解析出現(xiàn)了故障。由于“.net”和“.com”（通用頂級(jí)域名）以及“.cn”(中國的國家代碼頂級(jí)域名)一樣，是互聯(lián)網(wǎng)使用范圍最廣的頂級(jí)域名之一，有一千三百四十多萬注冊(cè)量，其解析故障導(dǎo)致了大量使用“.net”域名的網(wǎng)站和服務(wù)器從互聯(lián)網(wǎng)“斷開網(wǎng)絡(luò)連接”，持續(xù)3小時(shí)18分鐘。

這次事件在國際互聯(lián)網(wǎng)社群造成很大的影響，互聯(lián)網(wǎng)域名系統(tǒng)國家工程研究中心主任毛偉研究員，針對(duì)此次斷網(wǎng)事件進(jìn)行了解讀和分析。

復(fù)盤：域名解析故障疊加路由控制失效導(dǎo)致的斷網(wǎng)事件

2月22日，F(xiàn)根的運(yùn)行機(jī)構(gòu)--互聯(lián)網(wǎng)基礎(chǔ)軟件研發(fā)機(jī)構(gòu)ISC(Internet System Consortium，DNS開源項(xiàng)目BIND的維護(hù)單位) 發(fā)布了一份報(bào)告，對(duì)此次事件的原因進(jìn)行了說明。根據(jù)該報(bào)告披露，此次斷網(wǎng)的原因是：F根部分服務(wù)節(jié)點(diǎn)部署在美國CDN廠商Cloudflare的網(wǎng)絡(luò)中。由于Cloudflare在其網(wǎng)絡(luò)基礎(chǔ)軟件進(jìn)行升級(jí)時(shí)，出現(xiàn)了故障，不能正常對(duì)互聯(lián)網(wǎng)返回F根服務(wù)器的尋址信息。在故障修復(fù)之前，由于Cloudflare沒有及時(shí)停止對(duì)互聯(lián)網(wǎng)廣播F根的服務(wù)地址（F根的IP地址），大量用戶流量仍然被路由到Cloudflare運(yùn)行的故障F根節(jié)點(diǎn)訪問，導(dǎo)致無法訪問所有“.net”域名的互聯(lián)網(wǎng)服務(wù)。1月23日，在收到用戶反饋“斷網(wǎng)”后，Cloudflare停止了對(duì)外廣播（BGP）F根的服務(wù)地址，互聯(lián)網(wǎng)用戶對(duì)F根的訪問流量被定位到其他機(jī)構(gòu)運(yùn)行的F根服務(wù)節(jié)點(diǎn)上。完成故障修復(fù)后，Cloudflare重新對(duì)外廣播F根的服務(wù)地址，向互聯(lián)網(wǎng)用戶提供正常的根區(qū)解析服務(wù)。

由美國國家航空航天局(NASA)運(yùn)行的E根的部分服務(wù)節(jié)點(diǎn)也部署在美國CDN廠商Cloudflare的網(wǎng)絡(luò)中，并受此次故障影響，其原因應(yīng)該是一樣的。

啟示：“路由斷網(wǎng)”和“域名斷網(wǎng)”既相互區(qū)別，又有所聯(lián)系

此次斷網(wǎng)事件讓“域名系統(tǒng)”和“路由系統(tǒng)”再次成為高亮詞?；仡櫥ヂ?lián)網(wǎng)的安全史，大概沒有哪個(gè)單一系統(tǒng)故障能像域名系統(tǒng)和路由系統(tǒng)，一旦出現(xiàn)故障就可以造成大面積的網(wǎng)絡(luò)癱瘓或服務(wù)中斷。但這次事件的原因交織了兩個(gè)“斷網(wǎng)”要素：突然出現(xiàn)的“域名斷網(wǎng)”，需要通過“路由斷網(wǎng)”來終止不利影響。

在此次斷網(wǎng)事件中，首先是因?yàn)?a target="_blank">域名系統(tǒng)的解析故障，導(dǎo)致了根服務(wù)器（F根）反饋了錯(cuò)誤的“.net”域名解析結(jié)果。ISC官方說此次故障是由于F根節(jié)點(diǎn)（Cloudflare公司）的基礎(chǔ)軟件（underlying software)升級(jí)導(dǎo)致的：運(yùn)行在cloudflare的F根節(jié)點(diǎn)軟件升級(jí)后出了bug，導(dǎo)致返回“.net”頂級(jí)域名的NS 記錄時(shí)沒有反饋glue記錄（“.net”權(quán)威服務(wù)器的IP地址）從而導(dǎo)致用戶無法進(jìn)行下一步DNS解析。

但這一配置故障并不是決定性的。全球的根服務(wù)器系統(tǒng)，早就通過部署“鏡像節(jié)點(diǎn)“并以BGP+Anycast的機(jī)制保證根服務(wù)器的解析，不會(huì)因?yàn)椴糠止?jié)點(diǎn)失效而出現(xiàn)故障。但是，這一機(jī)制的前提是要駕馭好基于BGP的全球互聯(lián)網(wǎng)路由控制系統(tǒng)。在發(fā)現(xiàn)了Cloudflare運(yùn)行的F根節(jié)點(diǎn)出現(xiàn)問題后，如果第一時(shí)間通過路由控制（BGP）停止對(duì)全球互聯(lián)網(wǎng)廣播服務(wù)地址（讓錯(cuò)誤的F根節(jié)點(diǎn)“斷網(wǎng)”），那么該節(jié)點(diǎn)提供的錯(cuò)誤域名解析就不會(huì)影響到用戶。用戶會(huì)通過BGP+Anycast機(jī)制找到提供正確域名解析的其他F根節(jié)點(diǎn)。

延伸：“斷網(wǎng)”是多種因素共同作用的復(fù)雜現(xiàn)象，要區(qū)別斷網(wǎng)的層次

“互聯(lián)網(wǎng)域名系統(tǒng)”（簡(jiǎn)稱“域名系統(tǒng)”）和“互聯(lián)網(wǎng)路由控制系統(tǒng)”（簡(jiǎn)稱“路由控制系統(tǒng)”）在全球網(wǎng)絡(luò)的互聯(lián)互通中扮演了什么角色？一般來說，互聯(lián)網(wǎng)的用戶終端（電腦、手機(jī)等）要想訪問一個(gè)網(wǎng)頁（網(wǎng)站服務(wù)器），首先需要通過域名系統(tǒng)的“查詢功能”獲取網(wǎng)站的IP地址，然后再在根據(jù)路由控制系統(tǒng)提供的“尋址功能”將消息（訪問請(qǐng)求）發(fā)送給網(wǎng)站。類比郵政系統(tǒng)，域名系統(tǒng)類似收件人的地址查詢系統(tǒng)，根據(jù)收件人的名字反饋收件地址；路由控制系統(tǒng)類似于導(dǎo)航系統(tǒng)，根據(jù)收件地址，在實(shí)際的道路網(wǎng)中規(guī)劃處一條最合理的寄送道路。域名系統(tǒng)故障，稱為“域名斷網(wǎng)”，也即，用戶無法查詢到通信對(duì)象的IP地址；路由控制系統(tǒng)故障，稱為“路由斷網(wǎng)”，也即用戶無法根據(jù)通信對(duì)象的IP地址發(fā)起訪問請(qǐng)求。

域名故障容易導(dǎo)致大面積斷網(wǎng)的本質(zhì)，是因?yàn)?a target="_blank">域名系統(tǒng)是集中層次化管理，單點(diǎn)失效會(huì)傳導(dǎo)給所有依賴此服務(wù)的網(wǎng)絡(luò)。路由故障容易導(dǎo)致大面積斷網(wǎng)，是因?yàn)榛ヂ?lián)網(wǎng)是以“自治域”為單位互聯(lián)互通，路由控制一旦失效，就是一個(gè)自治域網(wǎng)絡(luò)級(jí)別的斷網(wǎng)。同時(shí)，路由安全的保護(hù)機(jī)制RPKI（互聯(lián)網(wǎng)碼號(hào)資源公鑰基礎(chǔ)設(shè)施）使得路由控制系統(tǒng)也同域名一樣，依賴層次化的IP地址認(rèn)證體系，這是全球互聯(lián)網(wǎng)的根本運(yùn)行機(jī)制和資源分配體系決定的。

結(jié)語：

由大量異構(gòu)網(wǎng)絡(luò)互聯(lián)互通而成的“全球互聯(lián)網(wǎng)”，依舊會(huì)依賴 互聯(lián)網(wǎng)域名系統(tǒng)提供的“統(tǒng)一命名空間”和互聯(lián)網(wǎng)路由系統(tǒng)提供的“統(tǒng)一尋址空間”。此次根服務(wù)器故障和滯后的路由控制，導(dǎo)致的是一個(gè)“通用頂級(jí)域名”無法解析，如果影響的是一個(gè)國家代碼頂級(jí)域名，將會(huì)在國際上引來巨大的爭(zhēng)議。盡管學(xué)術(shù)界和工業(yè)界已經(jīng)不斷地提出安全解決方案，但在可預(yù)見的未來，伴隨著他們運(yùn)行風(fēng)險(xiǎn)不會(huì)消失。域名系統(tǒng)和路由系統(tǒng)的安全保障工作，沒有終點(diǎn)，只有不斷出現(xiàn)的新的更高水平的起點(diǎn)。

分享名稱：域名國家工程研究中心主任毛偉解讀.net”斷網(wǎng)”事件
網(wǎng)頁鏈接：http://www.muchs.cn/news10/103710.html

成都網(wǎng)站建設(shè)公司_創(chuàng)新互聯(lián)，為您提供App開發(fā)、網(wǎng)站設(shè)計(jì)公司、全網(wǎng)營銷推廣、網(wǎng)站內(nèi)鏈、品牌網(wǎng)站制作、面包屑導(dǎo)航

廣告

聲明：本網(wǎng)站發(fā)布的內(nèi)容（圖片、視頻和文字）以用戶投稿、用戶轉(zhuǎn)載內(nèi)容為主，如果涉及侵權(quán)請(qǐng)盡快告知，我們將會(huì)在第一時(shí)間刪除。文章觀點(diǎn)不代表本網(wǎng)站立場(chǎng)，如需處理請(qǐng)聯(lián)系客服。電話：028-86922220；郵箱：631063699@qq.com。內(nèi)容未經(jīng)允許不得轉(zhuǎn)載，或轉(zhuǎn)載時(shí)需注明來源： 創(chuàng)新互聯(lián)