中國互聯網根域名服務器（DNS）故障的現象與推測

1，網絡故障現象：

     

2014年1月21日，眾多網站同行報告稱國內互聯網根域出現問題，導致大量網站域名解析不正常，分析後發現，所有通用頂級域名的根域解析出現異常。故障具體表現在域名訪問請求被跳轉到幾個沒有響應的美國IP上，不同省份的用戶均出現不同程度的網絡故障，但也有訪問完全正常的案例。

2，根域名服務器（DNS）：

維基解釋：域名係統（Domain Name System，簡稱DNS）是整個互聯網服務的底層基礎之一。這一服務將人們訪問的互聯網域名轉換為IP地址，相當於網絡訪問的指路牌。舉例來說，ifeng.com是一個域名地址，方便人們記憶與輸入。但其實每個域名都必須要與一個服務器的IP地址相對應，才能被網絡正確識別和訪問到，如210.51.19.61。域名係統就負責將好記的域名地址轉換為真實的IP地址，這一轉換的過程，有一個術語叫做“域名解析”。域名係統由DNS服務器來運行，DNS服務器是一個樹狀的分布式的大型網絡。其中最頂級的服務器叫做根服務器（Root Server），存儲了全球所有通用域名的信息。在根服務器之下，有大量的一層一層的次級服務器，麵向用戶提供服務。

一般的用戶安裝好網絡之後，會使用寬帶運營商提供的本地DNS服務器。這是離用戶最近的DNS服務器，位於整個DNS網絡的最末端。DNS服務器采用緩存機製，當用戶在本地DNS服務器找到域名解析結果的時候，就直接返回IP地址。如果找不到，則最近的服務器將依次向上查詢，查詢更上層的服務器，層層循環，一直查詢到最高等級的根服務器。同時，查詢到後，本地服務器就會緩存下來，其它用戶再次訪問該域名時，可以直接在本地服務器拿到結果，不用再次層層查詢。這一域名網絡具有嚴格的等級製度，底層服務器嚴格遵循上層服務器的更新結果。這一層層向上查詢並緩存的機製，保證了整個域名係統的高效。但也為安全帶來了隱患：即一旦上層的DNS服務器受到攻擊時，所有底層的服務器都將受到牽連，從而導致大規模的網絡癱瘓。

網友以1月21日的這次DNS故障為例分析：位於中國的高級別的域名服務器出現故障，導致中國大部分的域名服務器解析出現錯誤，從而導致了接近2/3的中國互聯網癱瘓。據金山毒霸網絡專家的數據，近年來中國大規模的網絡癱瘓事故有五起。包括2006年台灣地震震斷海底光纜事故、2009年暴風DNS受攻擊導致大範圍斷網、2010年百度域名被劫持事件、2011年中國電信寬帶維修導致大規模網絡故障、以及昨日2014年DNS域名根服務器故障。從近年來的五起網絡癱瘓大事故看來，除了不可抗力的地震和維修導致物理故障之外，其餘的三起事故都是由DNS係統引起的。事實上，作為互聯網最基礎的服務之一，隨著互聯網應用的不斷發展，互聯網安全鏈條上最薄弱的環節就是DNS域名係統了。也就是說，因為技術的路徑依賴和特殊的社會曆史原因，對DNS係統的重新設計和大修幾乎是不可能的，支撐全球網絡的DNS係統不可能完全顛覆重來。

3，出現解析異常的推測

（1）DNS故障原因極有可能為GFW工作人員烏龍操作。

http://www.zhihu.com/question/22572025

http://www.v2ex.com/t/97867

http://ovear.info/post/207

（2）根服務器故障DNS解析失敗互聯網絡癱瘓疑因美翻牆軟件。

專業人士進一步分析指出：訪問任何以 .net，.com，.org結尾的域名的網站，統統被送到65.49.2.178這個IP上，而這是一個翻牆代理服務器提供商的IP。該IP位於美國北卡羅來納州卡裏鎮DynamicInternetTechnology公司，大量中國知名IT公司的域名被解析到該地址。

《環球時報》記者21日晚通過多方調查發現，這家名為DynamicInternetTechnology的公司與研發“自由門”翻牆軟件的是同一家公司。依據名稱和地址，記者在查詢這家公司信息過程中了解到，該公司總裁為比爾·夏，此人正是“自由門”的創始人。DynamicInternetTechnology公司網站介紹稱，其服務對象包括Dajiyuan、美國之音、自由亞洲電台等，為中國的互聯網用戶提供被屏蔽網頁的訪問服務。《環球時報》記者發現該公司並未留下聯係電話，隻有傳真和電子郵件聯係方式。記者向該公司發出電子郵件詢問，比爾·夏回複稱其與此事無關，事件更像是DNS域名被第三方劫持。

（3）國家互聯網應急中心22日證實，這次故障是由於根服務器遭受網絡攻擊所致。

“遊戲團隊拿了68薪的年終獎，技術團隊憤而格式化”——這條段子是21日互聯網界的熱點。

（4）有人指出：這次網路癱瘓並非駭客所為，最可能的是中國的防火牆跟自己開了個天大的玩笑，因為隻有中國的“防火長城”能同時癱瘓不同網站的DNS。

4，根域名服務器的背後

2014年1月21日，中國境內三分之二網站由於DNS域名根服務器故障，處於癱瘓狀態，網站的訪問受到嚴重影響。初步判斷此次事件是由於網絡攻擊導致中國境內互聯網用戶通過國際頂級域名服務解析時出現異常。目前，全球隻有13個頂級根域名服務器維持著整個互聯網的運行，其中10個在美國，在中國尚未有布置。中國使用這些根服務器是否需要付費？每年大約多少？

來自網絡的消息稱：中國沒有根服務器。根服務器主要用來管理互聯網的主目錄，全世界隻有13台。1個為主根服務器，放置在美國。其餘12個均為輔根服務器，其中9個放置在美國；歐洲2個，位於荷蘭和瑞典；亞洲1個，位於日本。所有根服務器均由美國政府授權的互聯網域名與號碼分配機構ICANN統一管理，負責全球互聯網域名根服務器、域名體係和IP地址等的管理。

2010年3月16日前，中國大陸有其中兩個根域DNS鏡像，但因為多次發生DNS汙染而影響外國網絡，威脅互聯網安全和自由而被撤銷路由通告。據2008年1月《第一財經日報》援引中央黨校的一份報告推算說，中國每年向美國支付的使用現有國際互聯網的費用，包括域名注冊費、解析費和信道資源費及其設備、軟件的費用等，高達5000億元以上，超過了當年中國國防預算的數額。相當於當年雲南全年的GDP（5700億元），占到廣東當年GDP（35696億元）的七分之一。

但另據《南方都市報》報道，《中國域名經濟》叢書主編沈陽說，通用頂級域名（gTLD）注冊費，一個是5.5美元，中國大概有300萬個，一年是1650萬美元；中國去美國的單向流量信道費2004年是10億元人民幣。所謂的“解析費”是不存在的，是蒙人的說法。在中國互聯網發展的早期，中文資源少，國內用戶訪問外國網站較多。隨著中文信息的豐富，反而是國外用戶訪問國內網站多於國內用戶訪問國外網站，所以相關的費用還在逐年下降。

5，筆者推測

2014年1月21日，中國互聯網根域名服務器（DNS）的故障，並非所謂的“故障”，而是中國安全部門（即新成立的國家安全委員會）對中國網絡安全進行的一次有效的測試，因為中共中央政治局星期五（1月24日）召開會議，決定了中央國家安全委員會設置，中央國家安全委員會由習近平任主席，李克強、張德江任副主席，下設常務委員和委員若幹名。此次網絡安全測試被證明是成功的，中國自己設計的網絡安全係統是可行的，有望在不遠的將來，完全取代由美國控製和管理的“國際互聯網”，筆者稱之為“中國全球電訊網”。

為什麽這樣推測？

據資深網友分析：21日的DNS攻擊雖然已經平息，但這樣的情況的發生，自然給我們敲響了警鍾，如果下一次這樣的攻擊不再像這次一樣，隻是一次“玩笑”，而是真真正正的網絡進攻，而且範圍達到整個中國，甚至影響到政府層麵的網絡安全的話，我們又應該怎麽來麵對呢?從戰略角度上講，當國家安全受到威脅的時候，一切都應以大局為重，很可能屆時會啟動應急方案，拉停國內的民用互聯網。所以，提升網絡安全，是我們必須認真對待的現實問題。

根據上述幾個方麵的分析，筆者由此可以斷定：中國相關部門研製多年的“中國全球電訊網”，在今年得到了一次有效而成功的測試，必將在不遠的一天，全麵取代當今的“國際互聯網”。我們拭目以待！