域名系統(tǒng)(DNS)是一種將域名解析成互聯(lián)網(wǎng)上的IP地址的分布式數(shù)據(jù)庫系統(tǒng)，使用戶能夠通過域名訪問互聯(lián)網(wǎng)上的各種資源。域名系統(tǒng)的命名方式采用樹狀分層命名機(jī)制，由多個域名服務(wù)器組成，每個服務(wù)器存儲域名和對應(yīng)的IP地址。當(dāng)用戶輸入域名時，域名系統(tǒng)依次向下查詢，直到找到對應(yīng)的IP地址。

域名系統(tǒng)是在ARPANET的基礎(chǔ)上誕生的，旨在解決使用統(tǒng)一主機(jī)表系統(tǒng)帶來的問題。Paul Mockapetris承擔(dān)了設(shè)計域名系統(tǒng)結(jié)構(gòu)的任務(wù)。1984年，來自加州大學(xué)伯克利分校的四名學(xué)生提出了第一個Unix名稱服務(wù)器實(shí)現(xiàn)，稱為BIND。同年，Paul Mockapetris設(shè)計了域名系統(tǒng)的結(jié)構(gòu)，并發(fā)布了RFC 882和RFC 883來定義域名系統(tǒng)。1996年，Martin Dürst提出了國家域名(IDN)的概念。

域名系統(tǒng)提供將用戶連接到遠(yuǎn)程主機(jī)所需的信息。它是網(wǎng)頁瀏覽和大多數(shù)其他互聯(lián)網(wǎng)活動的依賴，廣泛應(yīng)用于商業(yè)和企業(yè)，以及政府，大學(xué)和其他組織。DNS技術(shù)和產(chǎn)品形態(tài)的不斷豐富，對其安全性提出了挑戰(zhàn)。在這方面，研究人員提出了許多改進(jìn)方案，如引入AnyCast技術(shù)進(jìn)行負(fù)載均衡，使用區(qū)塊鏈技術(shù)提高安全性，推出DNS安全擴(kuò)展DNSSEC等。

DNS(域名系統(tǒng)(DNS)是互聯(lián)網(wǎng)名稱注冊和解析的標(biāo)準(zhǔn)，用于將域名定位到主機(jī)IP地址。DNS實(shí)際上是一個分布式數(shù)據(jù)庫。所有的主機(jī)名、域名和對應(yīng)的IP地址都分布在一個叫做“名稱服務(wù)器”的服務(wù)器上，這個服務(wù)器允許客戶調(diào)用一個叫做解析器的庫來訪問它。DNS分布式數(shù)據(jù)庫中的每一個數(shù)據(jù)單元都是按名稱索引的，這些名稱一起形成一棵反向生長的“樹”，稱為域名空間。樹的頂端有一個唯一的根，稱為“根域”或“根”。根的名稱由空字符串和“.”表示在正文中。樹的每個節(jié)點(diǎn)代表域名系統(tǒng)的一個域。每個域可以進(jìn)一步劃分為子域，每個節(jié)點(diǎn)用“.”分隔完整的域名是從節(jié)點(diǎn)到根的路徑上所有節(jié)點(diǎn)名稱的組合。

起源

互聯(lián)網(wǎng)的前身是ARPAnet，是由數(shù)百臺主機(jī)組成的小規(guī)模團(tuán)體。主持人。TXT文件包含所有這些主機(jī)的信息，由SRI網(wǎng)絡(luò)信息中心(NIC)維護(hù)，由SRI-NIC分發(fā)。ARPAnet的管理人員經(jīng)常通過電子郵件將他們的更改發(fā)送給NIC，并定期獲得最新的主機(jī)。來自SRI-NIC的短信。隨著阿帕網(wǎng)的發(fā)展，主機(jī)的規(guī)模。TXT文件也增加，這使得這項(xiàng)工作難以繼續(xù)。ARPAnet采用TCP/IP協(xié)議后，網(wǎng)絡(luò)規(guī)模爆炸式增長，HOSTS.TXT出現(xiàn)了一系列問題，ARPAnet管理團(tuán)隊(duì)改進(jìn)Hosts.txt的目標(biāo)是創(chuàng)建一個系統(tǒng)，可以解決使用統(tǒng)一主機(jī)表系統(tǒng)帶來的問題。新系統(tǒng)應(yīng)允許本地數(shù)據(jù)管理員在全球范圍內(nèi)訪問其數(shù)據(jù)，分散管理可以消除單個主機(jī)造成的瓶頸并減少通信擁塞，本地管理員可以更容易地承擔(dān)保持?jǐn)?shù)據(jù)最新的任務(wù)。南加州大學(xué)信息科學(xué)研究所的Paul Mockapetris承擔(dān)了設(shè)計新系統(tǒng)結(jié)構(gòu)的任務(wù)。1983年，互聯(lián)網(wǎng)開始采用層次樹結(jié)構(gòu)的命名方式，并使用分布式域名系統(tǒng)DNS。

1984年，加州大學(xué)伯克利分校的四名學(xué)生道格拉斯·特里、馬克·佩因特、大衛(wèi)·里格爾和周松·年為伯克利互聯(lián)網(wǎng)域名編寫了第一個Unix名稱服務(wù)器，名為BIND。同年，Paul Mokapteris發(fā)布了定義域名系統(tǒng)的RFC 882和RFC 883，后被RFC 1034和RFC 1035取代，形成了域名系統(tǒng)標(biāo)準(zhǔn)。1985年，DEC的Kevin Dunlap對DNS的實(shí)現(xiàn)進(jìn)行了大幅修改。此后，邁克卡雷爾，菲爾阿爾姆奎斯特和保羅維謝一直保持綁定。90年代初，BIND被移植到Windows NT平臺。它分布廣泛，尤其是在Unix系統(tǒng)上，并且仍然是互聯(lián)網(wǎng)上使用最廣泛的DNS軟件。因?yàn)榛ヂ?lián)網(wǎng)的命名系統(tǒng)中使用了很多“域”，所以出現(xiàn)了“域名”這個術(shù)語，“域名系統(tǒng)”明確表示這個系統(tǒng)在互聯(lián)網(wǎng)中。

發(fā)展

研究機(jī)構(gòu)預(yù)測，由于網(wǎng)絡(luò)主機(jī)和應(yīng)用數(shù)量的急劇膨脹，TCP/IP使用的IPv4協(xié)議將面臨地址資源不足、路由表增加等一系列問題。研究機(jī)構(gòu)預(yù)測了IPv4地址用完的時間，認(rèn)為IPv4地址會在2011年左右用完。1995年，IETF(互聯(lián)網(wǎng)工程任務(wù)組)開始研究和開發(fā)IPv6協(xié)議。與IPv4的三種地址分類:單播地址、廣播地址和組播地址相比，IPv6地址分為單播地址、任播地址和組播地址。IPv6和IPv4之間的一個顯著變化是使用128位地址，而不是32位長的IPv4地址。它們的DNS在架構(gòu)上是一致的，都采用了樹形結(jié)構(gòu)的域名空間，域名可以同時對應(yīng)多個IPv4和IPv6地址。

1996年，Martin Dürst提出了國家域名(IDN)的概念，并于1998年付諸實(shí)踐，最終“應(yīng)用國際化域名”(IDNA)被采納為正式標(biāo)準(zhǔn)。同年，中國互聯(lián)網(wǎng)絡(luò)信息中心(CNNIC)啟動了中文域名的研發(fā)工作。

1999年，CDN服務(wù)提供商Akamai列出了一種數(shù)學(xué)算法，可以在大型分布式服務(wù)器網(wǎng)絡(luò)上智能傳輸和復(fù)制內(nèi)容。CDN技術(shù)的工作原理是通過在網(wǎng)絡(luò)各處放置節(jié)點(diǎn)服務(wù)器，更快地傳輸信息，更方便網(wǎng)民訪問。

2005年，為了讓DNS更加安全，互聯(lián)網(wǎng)工程任務(wù)組提出了加強(qiáng)DNS的方法，并正式推出了域名系統(tǒng)安全擴(kuò)展，即DNSSEC(Domain Name System Security Extensions)。DNSSEC采用基于公鑰加密的數(shù)字簽名，增強(qiáng)了DNS驗(yàn)證的強(qiáng)度。DNSSEC不對DNS查詢和響應(yīng)本身進(jìn)行加密和簽名，而是由數(shù)據(jù)所有者對DNS數(shù)據(jù)本身進(jìn)行簽名。

2008年，DNSSEC開始在根域名服務(wù)器上實(shí)施，這是一個重要的里程碑，為全球范圍內(nèi)的DNS安全提供了基礎(chǔ)。

2011年，ICANN(互聯(lián)網(wǎng)名稱與數(shù)字地址分配機(jī)構(gòu))逐步放寬了對域名后綴的限制，允許注冊更多的頂級域名后綴，如新國家代碼頂級域名(ccTLDs)和通用頂級域名(gTLDs)，如“.app“和”。xyz”，為互聯(lián)網(wǎng)用戶提供了更多的域名選擇。2014年12月1日，唯一的中文通用頂級域名(gTLD)為”。由互聯(lián)網(wǎng)名稱與數(shù)字地址分配機(jī)構(gòu)(ICANN)正式授權(quán)的手機(jī)”正式推出。

2018年，互聯(lián)網(wǎng)工程任務(wù)組(IETF)正式采用HTTPS上的DNS查詢(DOH)。DoH為客戶端和解析服務(wù)器之間的域名解析流量提供了一種安全和隱私機(jī)制。DoH使用HTTPS對DNS請求和響應(yīng)包進(jìn)行加密，防止第三方竊聽和篡改明文DNS包，該技術(shù)已在全球范圍內(nèi)部署和應(yīng)用。

截至2022年底，全球域名注冊市場規(guī)模已達(dá)3.63億，互聯(lián)網(wǎng)規(guī)模呈爆炸式增長，域名系統(tǒng)的性能和可擴(kuò)展性亟待提升。因此，一些優(yōu)化措施被提出并廣泛應(yīng)用，如使用選播技術(shù)和域名緩存的優(yōu)化。

資源記錄

域名空間設(shè)計為樹形層次結(jié)構(gòu)，DNS樹形結(jié)構(gòu)中的唯一根位于最頂端，根的下一級稱為頂級域(TLD)，也稱為一級域，分為一般頂級域、國家頂級域和基礎(chǔ)設(shè)施域名三類。在國家和地區(qū)代碼的頂級域名下是二級域名，也稱為國家頂級域名。例如，中國的國家頂級域名預(yù)設(shè)為“類別域”和“行政區(qū)域”。二級域的下一級是三級域，依此類推。分層樹結(jié)構(gòu)中的每個域都是一個子域。比如“cncac.cn”既是“. ac.cn”的子域，也是“. ac.cn”的子域。cn”。

資源記錄是與域名相關(guān)聯(lián)的數(shù)據(jù)，域名空間中的每個節(jié)點(diǎn)都包含一系列資源信息。查詢操作是提取關(guān)于節(jié)點(diǎn)的特定類型的信息。資源記錄作為記錄項(xiàng)存在于運(yùn)行域名服務(wù)的主機(jī)的主文件中。資源記錄在RFC1035中有詳細(xì)描述，其格式為:域名生存時間類型類值。

域名服務(wù)器

域名服務(wù)器是用于提供域名空間的結(jié)構(gòu)和信息的服務(wù)器結(jié)構(gòu)，可以緩存域名空間任意部分的結(jié)構(gòu)和信息，但通常一個特定的域名服務(wù)器包含域名空間子集的完整信息和一個指向名稱服務(wù)器的指針，可以用來獲取域名空間任意其他部分的信息。域名服務(wù)器分為幾種:主服務(wù)器，存儲被管理域的主文件數(shù)據(jù)；備份域名服務(wù)器(副服務(wù)器)，提供主域名服務(wù)器的備份，定期從主域名服務(wù)器讀取主文件數(shù)據(jù)，刷新本地數(shù)據(jù)；只緩存服務(wù)器，緩存從其他服務(wù)器獲得的信息，加快查詢操作。幾種服務(wù)類型的服務(wù)器可以共存于一臺主機(jī)中，每臺域名服務(wù)主機(jī)都包含一臺緩存服務(wù)器。

句法分析程序

為了將域名映射到地址，應(yīng)用程序調(diào)用一個名為parser的庫過程，參數(shù)是域名。解析器將數(shù)據(jù)包發(fā)送到本地服務(wù)器，本地服務(wù)器查找域名并將地址返回給解析器，解析器將地址返回給應(yīng)用程序。域名解析分為正向域名解析和反向域名解析。正向域名解析是從域名到IP地址的轉(zhuǎn)換。域名解析采用自上而下的算法，從根服務(wù)器開始到葉服務(wù)器，在中間的一個節(jié)點(diǎn)上尋找所需的名稱-地址映射。反向域名解析就是根據(jù)IP地址解析對應(yīng)的域名。

客戶端向本地DNS服務(wù)器發(fā)送域名查詢請求，DNS服務(wù)器在本地數(shù)據(jù)庫中查找客戶端所需的映射。如果本地DNS服務(wù)器在本地找不到客戶端查詢的信息，則向根域名DNS服務(wù)器發(fā)送客戶端請求，根域名DNS服務(wù)器使用根域名服務(wù)器解析的地址訪問下一級DNS服務(wù)器，獲取下一級域名的DNS服務(wù)器地址。

按照上面的遞歸方法，一步步逼近目標(biāo)，最后在維護(hù)目標(biāo)域名的DNS服務(wù)器上找到對應(yīng)的IP地址信息。客戶端本地DNS服務(wù)器的遞歸查詢結(jié)果返回給客戶端，客戶端使用本地DNS服務(wù)器查詢得到的IP地址訪問目標(biāo)主機(jī)。

傳統(tǒng)DNS物理部署結(jié)構(gòu)：傳統(tǒng)的域名解析服務(wù)器一般部署在單臺機(jī)器上。為了進(jìn)一步提高安全性和解析性能，將采用安全設(shè)備和負(fù)載平衡器。DNS服務(wù)器用于處理用戶的DNS請求，而負(fù)載均衡器是為了解決單個服務(wù)器性能不足而引入的DNS集群設(shè)備，安全設(shè)備是為了解決系統(tǒng)安全而引入的。然而，傳統(tǒng)的DNS結(jié)構(gòu)應(yīng)對DDoS攻擊的能力往往不足，DNS系統(tǒng)的可靠性和性能也存在一些問題。其系統(tǒng)性能、分析服務(wù)能力和安全防護(hù)都無法滿足DNS服務(wù)100%可用的需求。為了解決這一問題，域名注冊機(jī)構(gòu)和網(wǎng)絡(luò)運(yùn)營商大多采用AnyCaLst技術(shù)部署DNS域名解析服務(wù)系統(tǒng)，以實(shí)現(xiàn)服務(wù)器負(fù)載均衡，增強(qiáng)服務(wù)可靠性，提高對分布式拒絕服務(wù)攻擊的響應(yīng)時間，進(jìn)一步提高解析服務(wù)性能。

基于任播的DNS部署結(jié)構(gòu)：任播DNS是一種應(yīng)用任播路由和交換技術(shù)構(gòu)建負(fù)載均衡域名系統(tǒng)的網(wǎng)絡(luò)技術(shù)。通過將所有域名服務(wù)器的DNS地址以路由公告的形式廣播到其直連的三層交換機(jī)或路由器，并通過動態(tài)三層路由引導(dǎo)訪問任播DNS IP地址，實(shí)現(xiàn)DNS查詢的負(fù)載均衡。任播DNS具有更高的可靠性和性能、負(fù)載平衡、增強(qiáng)的安全性以及攻擊效果的本地化等優(yōu)點(diǎn)。幾個自治系統(tǒng)(AS)組成了全球互聯(lián)網(wǎng)。任播節(jié)點(diǎn)首先通過IGP協(xié)議聲明自治系統(tǒng)內(nèi)相同的共享單播IP地址，或者通過BGP協(xié)議聲明不同自治系統(tǒng)間的共享單播IP地址，從而實(shí)現(xiàn)多個物理服務(wù)器共享同一個端口地址，而客戶端根據(jù)路由信息就近訪問服務(wù)。

由于DNS系統(tǒng)設(shè)計為開放系統(tǒng)，存在未經(jīng)授權(quán)的信息泄露、網(wǎng)絡(luò)攻擊等安全問題，使得其保密性無法得到保證，缺乏有效的訪問控制。針對這個安全漏洞，網(wǎng)絡(luò)黑客攻擊DNS，從而造成整個或部分網(wǎng)絡(luò)的癱瘓。新模式下的DNS涉及公共通信、信息服務(wù)、金融、電子政務(wù)、國防科技等重要領(lǐng)域。如果遭到攻擊，將失去服務(wù)功能或泄露重要數(shù)據(jù)，嚴(yán)重?fù)p害公共利益，甚至危及國民經(jīng)濟(jì)發(fā)展。

常見的DNS攻擊

DNS欺騙：DNS欺騙又稱域名欺騙，可以將用戶合法請求對應(yīng)的IP地址替換為虛假的惡意IP地址，從而將用戶定向到釣魚網(wǎng)站竊取隱私信息。主要由兩種方式組成:DNS緩存中毒和DNS信息劫持。

DNS隱蔽通道：隱蔽通道違反互聯(lián)網(wǎng)通信協(xié)議的規(guī)則，利用網(wǎng)絡(luò)信息載體(網(wǎng)絡(luò)協(xié)議和協(xié)議數(shù)據(jù))秘密傳輸信息。由于傳統(tǒng)的入侵檢測系統(tǒng)和網(wǎng)絡(luò)防火墻對這些載體的檢測能力較弱，很難發(fā)現(xiàn)通過隱蔽通道傳輸?shù)臄?shù)據(jù)，因此隱蔽通道也是信息隱藏技術(shù)的一個分支。DNS隱通道是一種消息封裝技術(shù)，使用DNS包封裝信息。由于DNS最初并不是用于數(shù)據(jù)傳輸，所以人們總是忽略了它也是惡意通信或數(shù)據(jù)泄露的潛在威脅。

DDoS攻擊：拒絕服務(wù)(DoS)耗盡了網(wǎng)絡(luò)服務(wù)的資源和帶寬，使服務(wù)器沒有多余的能力處理外部請求，從而使網(wǎng)絡(luò)服務(wù)崩潰和癱瘓。DNS反射放大攻擊本質(zhì)上也是一種DDoS攻擊，利用DNS響應(yīng)包大于請求包的特性，耗盡目標(biāo)的網(wǎng)絡(luò)資源。

策略分析

采用DNSSEC技術(shù)：IETF提出了DNSSEC框架(DNS安全擴(kuò)展)，它使用公鑰加密來提供數(shù)據(jù)完整性和數(shù)據(jù)源認(rèn)證。DNSSEC技術(shù)是指使用數(shù)字簽名和公鑰來實(shí)現(xiàn)DNS數(shù)據(jù)的完整性和可靠性。采用DNSSEC技術(shù)，通過權(quán)威名稱服務(wù)器用自己的私鑰對資源記錄進(jìn)行簽名，然后解析服務(wù)器用權(quán)威公鑰對來自權(quán)威名稱服務(wù)器的數(shù)據(jù)進(jìn)行認(rèn)證，有效提高了連接的安全性。如果身份密鑰的身份驗(yàn)證失敗，DNS可以拒絕訪問。

部署任播：任播可以實(shí)現(xiàn)DNS負(fù)載均衡。通過部署Anycast，在DNS中提供相同服務(wù)的服務(wù)器組可以共享一個統(tǒng)一的IP，可以有效防止DDoS攻擊。網(wǎng)絡(luò)攻擊者利用僵尸網(wǎng)絡(luò)攻擊DNS時，會產(chǎn)生大量的信息，這些信息會通過任播分發(fā)到不同的DNS服務(wù)器上，從而緩解單個服務(wù)器的運(yùn)行壓力。使用大量分布式服務(wù)器可以在一定程度上降低DDos攻擊對DNS的破壞性。

區(qū)塊鏈技術(shù)：隨著區(qū)塊鏈技術(shù)的快速發(fā)展，相關(guān)機(jī)構(gòu)利用區(qū)塊鏈分散的特點(diǎn)，推動了區(qū)塊鏈技術(shù)與DNS系統(tǒng)的融合。基于集中式區(qū)塊鏈技術(shù)的網(wǎng)絡(luò)安全比傳統(tǒng)的集中式域名服務(wù)器更安全，可以支持域名管理，防止域名服務(wù)器緩存和中毒。區(qū)塊鏈通過其網(wǎng)絡(luò)節(jié)點(diǎn)構(gòu)建DNS信息，可以有效提高DNS的安全性能。

系統(tǒng)的應(yīng)用：域名系統(tǒng)提供將用戶連接到遠(yuǎn)程主機(jī)所需的信息。它是網(wǎng)頁瀏覽和大多數(shù)其他互聯(lián)網(wǎng)活動的依賴，廣泛應(yīng)用于商業(yè)和企業(yè)，以及政府，大學(xué)和其他組織。

域名系統(tǒng)

DNS在金融行業(yè)中的應(yīng)用：互聯(lián)網(wǎng)時代，DNS域名系統(tǒng)是任何企業(yè)在生產(chǎn)活動中的基本核心要素。對于銀行業(yè)來說，隨著移動互聯(lián)網(wǎng)時代的到來，IT網(wǎng)絡(luò)和業(yè)務(wù)的規(guī)模不斷發(fā)展融合，對IT系統(tǒng)的敏捷性、容災(zāi)性和服務(wù)質(zhì)量保證(SLA)提出了很高的要求。作為金融客戶，在技術(shù)發(fā)展和內(nèi)在需求的驅(qū)動下，IT系統(tǒng)的建設(shè)正逐漸從傳統(tǒng)的IP接入模式向域名接入模式轉(zhuǎn)變。隨著金融機(jī)構(gòu)IT系統(tǒng)和業(yè)務(wù)系統(tǒng)的不斷擴(kuò)大和快速發(fā)展，使用IP地址訪問業(yè)務(wù)系統(tǒng)的弊端逐漸暴露出來。使用IP接入業(yè)務(wù)系統(tǒng)給IP變更帶來困難，不能滿足兩地三中心之間業(yè)務(wù)切換的要求，滿足相應(yīng)的RPO和RTO要求。因此，銀行需要引入域名系統(tǒng)(DNS)。

DNS在數(shù)字政府中的應(yīng)用：在數(shù)字政府政策的指引下，政府服務(wù)以“數(shù)字化、集約化、平臺化”為導(dǎo)向。DNS作為網(wǎng)絡(luò)交互的核心樞紐和鏈路中心，在政府信息系統(tǒng)集約化建設(shè)的復(fù)雜場景下，確保政府服務(wù)內(nèi)外的高效鏈接和體驗(yàn)優(yōu)化，是政府連續(xù)性保障——多中心冗余建設(shè)的重要組成部分，是政府信息安全防護(hù)體系的重要環(huán)節(jié)。

DNS在高校網(wǎng)絡(luò)中的應(yīng)用：在建設(shè)智慧校園的過程中，網(wǎng)絡(luò)的高可用性非常重要。DNS作為互聯(lián)網(wǎng)的關(guān)鍵基礎(chǔ)資源，在網(wǎng)絡(luò)安全中起著基礎(chǔ)性的支撐作用。DNS在校園網(wǎng)中主要提供三種服務(wù):一是內(nèi)網(wǎng)用戶在訪問互聯(lián)網(wǎng)時需要DNS切換外部域名；第二，互聯(lián)網(wǎng)用戶訪問校園網(wǎng)需要DNS提供內(nèi)部名稱服務(wù)，返回合法的IP地址。第三，內(nèi)網(wǎng)用戶之間的訪問需要DNS確定主機(jī)，并將私網(wǎng)IP地址返回給請求者。

DDNS在鐵路GPRS網(wǎng)絡(luò)中的應(yīng)用：DDNS(動態(tài)域名系統(tǒng))解決了GPRS終端域名與動態(tài)IP地址的綁定問題。當(dāng)GPRS終端以不同的IP登錄時，DDNS將GPRS終端用戶IP地址的變化動態(tài)映射到相應(yīng)的DDNS服務(wù)器上，并及時更新，從而保證GPRS可以正確尋址。GPRS終端用戶可以根據(jù)自身需求選擇合適的鐵路業(yè)務(wù)系統(tǒng)平臺、數(shù)據(jù)庫平臺和隨站隨用的運(yùn)營模式，從而獲得最大限度的IP地址使用自主權(quán)。