云解析大学第一期：DNS安全之道-低调大师

云解析大学第一期：DNS安全之道

2016-12-06 822

摘要：11月29日云栖社区在线培训，云栖社区请来了阿里巴巴基础架构事业群技术专家宋毅给大家带来了DNS安全之道的讲解。本文主要从介绍云解析DNS开始，详细分析了DNS的总技术架构，接着分享了权威解析系统和安全解析系统，最后与大家介绍了云解析高级功能，包括基础解析和智能解析等。一起来了解下吧。

直播视频回顾

云解析DNS是权威解析服务，完成域名到IP的翻译过程，围绕获取IP、得到IP访问的过程的一款云产品。

云解析DNS

DNS整个系统架构中，主要有递归DNS、权威DNS、最终用户三个角色，云解析是权威DNS。

云解析是域名解析环节的产品，重要性远远大于域名注册，域名解析关系到网站在运行过程中是否被攻击、攻击后能否正常恢复等问题。

云解析DNS依托阿里云全球机房基础设施及技术创新动力，助力权威域名解析服务平台化，让权威域名解析服务从网络访问到网站访问更安全更稳定更智能，成为可靠的访问基础设施和入口，真正的成为网络服务普惠科技平台，成就用户完美访问。

云解析优势

云解析DNS有四大特点：稳定可靠、安全保障、智能解析、全球部署。

随着互联网的高速发展，个人数据和企业业务逐渐线上化，域名解析作为网站访问的源头和入口，关系到网站的访问的稳定性、安全性和高效性。

用户在处理企业业务和个人数据时，会遇到许多与云解析相关的头疼问题，比如：

1）网络攻击

2）解析服务失败

3）解析记录篡改

4）解析数据不一致

5）访问劫持

解决这些问题是有较高的专业门槛和成本投入，对大多数个人和企业很难解决但又无法不去面对的。

总技术架构

权威解析系统总体架构如图，现在的网络程序都是管控层和解析层分离，整套系统具有高效稳定的数据平面+灵活强大的控制平面，数据平面是由全球很多的解析服务器组成的，解析服务器出口是我们自研的SecurityDNS系统，它会将进入/流出DNS服务器集群的流量做清洗。

ADNS服务器在华南部署了两套，整个DNS系统的容灾切换分成两大部分，一是DNS系统本身的容灾切换，这个由阿里云云解析完成，通过热备方式进行切换；一是域名对应的A记录，如果A记录指向的服务器宕机，可以把A记录服务器的IP地址切换到另一台服务器，阿里云提供了一些接口供用户调用，嵌入到自动化容灾程序中。

权威解析系统

ADNS基于dpdk框架，优化了整个软硬件协议栈，用经过优化的x86服务器，配上完全自主研发的ADNS软件，采用巧妙的内存数据结构设计,精确地调整每个内核对内存或CPU cache的访问效率，完美解决了困扰业界的C10M问题。ADNS是一个高性能、可扩展的DNS权威服务器。

ADNS+ADMS是完全自主研发的DNS权威服务器系统。其可以做到以下几点：

单机性能和容量超开源软件BIND 100倍；

性能超过1000万qps（经过软硬件优化，可达到4000万qps）；

容量可存储超过2000万域名（可随内存增长而线性增长）；

设计目标99.9999%的高可用性，上线以来，实际不可用时间为0；

提供友好的API给用户，把复杂的智能解析逻辑包裹在内。

安全防护系统

事件回顾

DNS攻击非常常见，门槛低，最近八年来国内外爆发的影响较大的DNS安全事件如下：

2009年5月19日南方六省断网事件。游戏私服私斗打挂DNSPod，殃及暴风影音域名解析，进一步殃及电信运营商本地DNS服务器，从而爆发六省大规模断网的事故。

2010年1月12日百度域名劫持事件。baidu.com的NS记录被伊朗网军（Iranian Cyber Army）劫持，然后导致www.baidu.com无法访问。事件持续时间8小时。

2011年9月5日，包括微软、宏碁、沃达丰和UPS在内的众多知名网站都遭遇了DNS劫持。

2012年2月16日，黑客组织匿名者（Anonymous）对外宣称，将在3月31日攻击DNS的13个根服务器，以达到让全球互联网瘫痪的目的。

2013年8月25日CN域被攻击事件。cn域DNS受到DDoS攻击而导致所有cn域名无法解析。

2014年1月21日全国DNS故障。迄今为止，大陆境内发生的最为严重的DNS故障，所有通用顶级域（.com/.net/.org）遭到DNS污染。

2014年12月10日，爆发了运营商DNS网络DDoS攻击事件。16个省的网站访问出现异常。

2015年11月30日DNS根服务器攻击事件。13个根服务器大都受到了攻击，攻击者对根服务器发起了针对两个特定域名的数十亿次无效查询请求。

2015年12月14日土耳其国家域遭攻击。黑客组织匿名者(Anonymous)宣布自己是40Gbps DDoS的网络攻击发起人，并表示该攻击跟反ISIS行动相关。

2016年9月21日，世界最大的主机托管提供商OVH、遭1Tb流量总计高达1Tbps，最大的单次攻击峰值近 800 Gbps。

2016年10月21日，解析运营商DynDNS被攻击，导致欧美大量使用相关DNS的网站遭遇访问问题其中包括Twitter等知名网站。

系统架构

整个架构是由阿里巴巴分布在全球的清洗中心构成的，依托阿里巴巴在全球的清洗实力，我们将进入到DNS机房的流量进行清洗，通过一套内部的算法去辨别哪些请求是攻击、哪些是正常请求。

阿里云云解析前身是有着悠久历史的万网，在多年的发展中赢得了很多客户的信任。发展到现在，云解析在国内市场占有率达到30%多，共托管了1000+万个域名，可以承受10+亿QPS请求量，我们还在全球部署了7个BGP机房，开放了40+个API接口。

云解析高级功能

基础解析

基础解析支持域名海外IP解析，支持A、AAAA、MX、CNAME、TXT、NS、URL转发、SRV所有主流的类型，支持最小1秒的TTL值，子域名级别可以扩展到10级，支持最高90条A记录负载均衡。

智能解析

智能解析支持国内各大运营商的线路；支持海外大洲国家/地区的线路；支持搜索引擎线路。

OpenAPI

API和相应的SDK，支持对域名所有信息的增删改查，方便用户从其它云解析提供商倒到我们这边来，SDK支持Java/Python/PHP/C#开发语言。

安全

安全方面如图所示，云解析提供包括最基础的DNS防护DDoS攻击、DDoS高防IP、服务器安全以及Web应用防火墙等功能，可以为客户提供一站式的安全解决方案。

1. .com/.cn域名+6元即享云解析，限时抢购链接：https://wanwang.aliyun.com/domain/dnsanddomain

2. 云解析+建站模板组合购9元限时抢链接：https://market.aliyun.com/tpldns

微信关注我们

原文链接：https://yq.aliyun.com/articles/65373

转载内容版权归作者及来源网站所有！

低调大师中文资讯倾力打造互联网数据资讯、行业资源、电子商务、移动互联网、网络营销平台。持续更新报道IT业界、互联网、市场资讯、驱动更新,是最及时权威的产业资讯及硬件资讯报道平台。

【百科】走近飞天：女娲——分布式协同服务

女娲（Nuwa），阿里云飞天系统底层核心模块，从2009年飞天建立之初开始自主研发，对基于飞天的系统提供一致性服务，分布式锁，和消息通知功能。与有类似功能的开源软件相比，女娲在性能，可扩展性，和可运维性上有明显优势。目前，女娲在阿里云支撑着大数据计算（MaxCompute），弹性计算（ECS），表格存储（TableStore），对象存储（OSS）等众多重量级的云产品。作为一致性维护服务，女娲是应用系统里面最底层的服务，其本身不依赖其它任何服务。女娲是两层服务架构。后端是一致性维护的功能模块，由多个Paxos group组成一致性协议核心。每个资源（文件，锁等）在后端都有一个归属的quorum。Quorum的内容在quorum内利用分布式一致性协议进行同步，保证资源的一致性和持久化。Replication的逻辑完全被封装在女娲服务的

2016-12-07

855

湖北阿里云：云数据库RDS升降级升降级流程进入RDS控制台后，选择目标实例跳转至实例详情页面。在“配置信息”附近可以找到“变更配置”的按钮，点击后即可升级实例配置。 “包年包月”实例 “包年包月”实例在合同期内只支持升级操作，不支持降级操作。 RDS升级产生费用的计算公式为：升级费用=每天两款实例的价格差×升级当天到服务到期日的剩余天数。升级后的价格根据升级影响到的天数来决定，如果升级天数大于等于300天，升级后的套餐价格将为年价，如果升级天数小于300天，升级后的价格为月价。升级实例的天数将持续到该实例的到期时间为止。升级操作需要关注RDS实例升级的注意事项。续费进行升降级的步骤请参考续费流程。 “按量付费”实例 “按量付费”实例随时可以进行升降级操作

2016-12-08

682

资源下载

更多资源

Nacos

Nacos /nɑ:kəʊs/ 是 Dynamic Naming and Configuration Service 的首字母简称，一个易于构建 AI Agent 应用的动态服务发现、配置管理和AI智能体管理平台。Nacos 致力于帮助您发现、配置和管理微服务及AI智能体应用。Nacos 提供了一组简单易用的特性集，帮助您快速实现动态服务发现、服务配置、服务元数据、流量管理。Nacos 帮助您更敏捷和容易地构建、交付和管理微服务平台。

Spring

Spring框架（Spring Framework）是由Rod Johnson于2002年提出的开源Java企业级应用框架，旨在通过使用JavaBean替代传统EJB实现方式降低企业级编程开发的复杂性。该框架基于简单性、可测试性和松耦合性设计理念，提供核心容器、应用上下文、数据访问集成等模块，支持整合Hibernate、Struts等第三方框架，其适用范围不仅限于服务器端开发，绝大多数Java应用均可从中受益。

Rocky Linux

Rocky Linux（中文名：洛基）是由Gregory Kurtzer于2020年12月发起的企业级Linux发行版，作为CentOS稳定版停止维护后与RHEL（Red Hat Enterprise Linux）完全兼容的开源替代方案，由社区拥有并管理，支持x86_64、aarch64等架构。其通过重新编译RHEL源代码提供长期稳定性，采用模块化包装和SELinux安全架构，默认包含GNOME桌面环境及XFS文件系统，支持十年生命周期更新。

Sublime Text

Sublime Text具有漂亮的用户界面和强大的功能，例如代码缩略图，Python的插件，代码段等。还可自定义键绑定，菜单和工具栏。Sublime Text 的主要功能包括：拼写检查，书签，完整的 Python API ， Goto 功能，即时项目切换，多选择，多窗口等等。Sublime Text 是一个跨平台的编辑器，同时支持Windows、Linux、Mac OS X等操作系统。