CN104184775A - 一种基于内容发布网络(cdn)的域名解析服务模型 - Google Patents

Abstract

针对现行域名解析系统存在各种性能和安全上的问题(例如，查询延迟、更新延迟、易受DoS攻击等)，本文提出了一种新型的、可增量部署的、和现行DNS兼容的、具有更好性能的域名解析服务模型。更为具体的讲是一种基于内容发布网络(CDN)的域名解析服务模型。此模型设计的核心思想是：由广泛分布的CDN网络节点服务器组成系统，利用CDN网络的内容发布和存储机制，以“推”的方式，在广泛分布的节点服务器上发布所有域名的权威DNS记录。利用CDN网络架构来发布DNS记录，域名的权威DNS记录被发布到各节点服务器，各节点服务器取代现行DNS架构中的域名解析器和域名服务器，响应用户的域名解析请求，提供域名解析服务，查询结果直接由网络节点服务器返回给用户。

Description

一种基于内容发布网络(CDN)的域名解析服务模型

技术领域

本发明涉及互联网技术，具体涉及一种基于内容发布网络(Content Distribution Networks)的域名解析服务模型。

背景技术

域名解析系统(DomainName System)是重要的互联网基础设施，将便于用户识别的网络域名(例如www.example.com)解析为计算机可识别的与之相对应的IP地址(例如10.0.0.1)。基于互联网的各种Web服务、Email服务等都可能依赖DNS。现行的DNS采用分布式层级结构设计，由域名解析器和域名服务器构成。解析一个域名时，用户将域名解析请求发送给域名解析器，由其进行解析，如果域名解析器缓存中存有该请求的DNS记录，则域名解析器立即响应用户的请求，将该DNS记录返回给用户，否则域名解析器需要通过递归查询，访问各级域名服务器，获取该域名的DNS记录，再将其返回给用户。然而，随着近十多年来互联网的发展、新出现的技术不断改变网络环境，传统的域名解析服务在性能和安全上逐渐显现出一些问题：

1)DNS查询延迟。由于网页往往嵌入多个链接，打开一个网页需要从多个域名中获取数据，DNS查询延迟成为影响打开网页所需时间的主要因素，为了解析一个未缓存的域名，域名解析器需要以递归查询的方式，访问各级域名服务器。此外，由于服务器不可达、数据分组丢失、域名解析请求的未响应等因素，解析一个域名所需的平均时间较长。

2)DNS更新延迟。对于域名解析器缓存中的DNS记录，当域名服务器上的DNS记录出现更新时，域名解析器缓存中的DNS记录并不会及时更新，而是等到域名解析器缓存中该域名DNS记录的TTL值过期后，域名解析器以“拉”的方式，访问相应的域名服务器以获取更新后的DNS记录，因此DNS记录有更新延迟，此时域名解析缓存器中的DNS记录是冗余的信息，若此时解析该域名，则可能出现异常。

3)DNS容易受到网络故障的影响，也容易受到DoS攻击。在现有的域名系统中，一个域名往往只由少数几个域名服务器来提供域名解析服务，仅由3个或者更少的域名服务器来提供域名解析服务的域名超过90％，大部分同一个域名的不同域名解析器在相同的自治域，这些都降低了域名解析服务对网络故障和DoS攻击的应变能力。

4)配置错误和管理复杂度。域名DNS记录的管理是一项复杂的任务，很多性能上和安全上的问题都源自配置错误，一个典型的安全隐患就是域名服务器之间DNS记录的传输，管理域名服务器的软件使用起来很复杂，并需要具有专业知识的人员进行服务器维护和配置。

5)DNS滥用。DNS已经成为各种网络攻击的首选工具。例如，恶意的广告系统用一次性的域名来发布恶意或虚假的内容；匿名注册的域名被钓鱼网站用来窃取私人信息；Fast-Flux网络通过使用短TTL值的DNS记录来频繁地切换IP地址，以跳出防火墙黑名单等。

发明内容

针对现行域名解析系统存在各种性能和安全上的问题(例如，查询延迟、更新延迟、易受DoS攻击等)，本文提出了一种新型的、可增量部署的、和现行DNS兼容的、具有更好性能的域名解析服务模型。更为具体的讲是一种基于内容发布网络(CDN)的域名解析服务模型。

此模型基于CDN网络的域名解析服务模型设计的核心思想是：由广泛分布的CDN网络节点服务器组成系统，利用CDN网络的内容发布和存储机制，以“推”的方式，在广泛分布的节点服务器上发布所有域名的权威DNS记录。利用CDN网络架构来发布DNS记录，各节点服务器可以取代现行DNS架构中的域名解析器和域名服务器，响应用户的域名解析请求，提供域名解析服务。在此服务模型中，域名的权威DNS记录被发布到各节点服务器，CDN网络的节点服务器实现了域名解析器和权威域名服务器的功能，DNS查询结果直接由网络节点服务器返回给用户。

最后，实施本发明具有以下有益效果：

1)降低查询延迟。在现行DNS架构下，若要解析一个未缓存的DNS记录，域名解析器需要以递归查询的方式访问多个域名服务器以获取该DNS记录。域名解析器到用户和各级域名服务器的往返延迟决定了DNS查询延迟。在本发明提出的服务模型下，节点服务器上维持所有域名的权威DNS记录，同时也是域名解析器，可直接响应域名解析请求而不需要访问其他服务器，DNS查询延迟仅取决于用户到节点服务器的往返延迟。CDN网络的节点服务器分布广泛，因此用户到节点服务器的往返延迟远小于域名解析器到用户和各级域名服务器的往返延迟。

2)解决更新延迟问题。TTL机制是造成DNS更新延迟的根本原因。DNS记录TTL值的大小，指示了其可缓存在域名解析器中的时间长短。在TTL值有效期内，域名解析器会直接将缓存中的DNS记录返回给用户，若在这段时间内权威域名服务器上更新了DNS记录，则域名解析器缓存中的DNS记录成为冗余信息。本发明的设计将权威的DNS记录发布到广泛分布的节点服务器上，不受TTL机制的限制，从根本上解决了这一问题。

3)提高对网络故障和DoS攻击的应变能力。在现行DNS架构中，一个域名的域名服务器往往不多于3个，而且这些域名服务器往往位于同一个IP网段或自治域(autonomoussystem)，网络故障和DoS攻击很容易影响域名解析服务。本发明的设计可使所有域名的权威DNS记录在全球范围内广泛分布的节点服务器上发布和更新。即使某个节点服务器遇到网络故障或受到DoS攻击，在本文提出的模型中，通过IP Anycast路由，用户的域名解析请求仍可被定向到其他正常工作的节点服务器，完成域名解析。该模型具有较强的应对网络故障和DoS攻击能力。

4)降低管理复杂性。域名服务器上的DNS记录的管理是一项复杂的工作，需要管理人员据有专业的知识使用域名服务器软件进行维护和配置。维护和配置不当，会造成一系列的问题。对于本文提出的模型，在维护方面，域名所有者将域名服务器的维护工作外包给CDN网络，不需要对域名服务器进行维护；在配置方面，由于不必使用NS类DNS记录，且DNS记录不必使用TTL字段，可降低出现人为配置错误的可能性。

5)限制DNS滥用。DNS已经成为各种网络攻击的首选工具，例如，针对域名解析器缓存的钓鱼网站攻击、滥用域名服务器的Fast-Flux网络等。

钓鱼网站攻击主要是通过伪造非权威的DNS记录，污染域名解析器缓存，进而实施的攻击。为降低这类攻击的威胁，一般是对访问域名解析器的IP地址进行限制，或者其他方法降低域名服务器缓存被污染的几率，然而由于管理和配置上的疏忽，互联网上大量的域名解析器存在该攻击漏洞。在本文提出的设计中，对于用户的域名解析请求，返回的都是权威的DNS记录，从根本上解决了钓鱼网站攻击这类以伪造DNS记录、污染缓存而实施攻击的问题。

Fast-Flux网络以快速更变域名的IP地址方式来跳出防火墙黑名单，以实现在互联网上发布虚假的非法的信息。在Fast-Flux网络的域名服务器端，DNS记录使用很小的TTL值，以Round-Robin方法频繁更换IP地址。在本文提出的设计中，任何更新的DNS记录都是由CDN网络的内容管理服务器发布到各节点服务器。内容管理服务器可轻易检测和限制恶意或可疑的行为，从而有效的预防滥用域名服务器的Fast-Flux网络。

附图说明

附图1是发明提出的域名解析服务模型的模型架构图；

附图2是发明提出的域名解析服务模型的DNS记录的管理、发布和更新的方式说明图；

附图3是发明提出的域名解析服务模型的增量部署能力和兼容性的说明图。

具体实施方式

下面结合附图对发明的模型进行描述，以便本领域的技术人员更好地理解本发明。

附图1是发明提出的域名解析服务模型的模型架构图，此服务模型包括了现行DNS架构中权威域名服务器和域名解析器的功能，是一个完整的架构。权威域名服务器维持域名权威的DNS记录，域名解析器响应用户的域名解析请求。

在此服务模型中，DNS记录以“推”的方式发布，通过CDN网络的内容管理服务器，域名所有者将DNS记录发布到广泛分布的CDN网络节点服务器上。这样CDN网络节点服务器就可以发挥现行DNS架构中二级域名服务器(权威域名服务器)的功能，其维持的DNS记录是权威的DNS记录，由域名所有者直接管理。由于任何更新的DNS记录都将由内容发布服务器在第一时间发布到各节点服务器，故节点服务器上的DNS记录可不必使用TTL字段，不受TTL机制的限制。

在解析域名方面，现行DNS架构中的域名解析器由CDN网络的节点服务器取代(基于IP Anycast路由技术，使用相同的IP地址)，用户的域名解析请求将被指向到附近的任何一个正常工作的节点服务器。当解析一个域名时，由于节点服务器上维持了所有域名的DNS记录，不需要访问任何额外的服务器，可立即响应用户的域名解析请求。用户到节点服务器的往返延迟决定了解析一个域名所需的时间。CDN网络拥有广泛分布的节点服务器，即可缩短用户到节点服务器的往返延迟，又可避免某个节点服务器出现负载过重的情况。

在上述模型中，结合了域名解析器和域名服务器功能的CDN网络的节点服务器将使用2个公网IP地址：一个为原CDN网络所配置的IP地址，用于CDN网络内部数据的传输和同步；另一个为节点服务器共用的IP地址，基于IP Anycast路由技术，用于对外提供域名解析服务。

附图2是发明提出的域名解析服务模型的DNS记录的管理、发布和更新的方式说明图。

在DNS记录的发布方面，基于CDN网络的域名解析系统模型以CDN网络为平台，利用CDN网络的内容发布和复制机制，以“推”的方式发布DNS记录。在域名所有者的授权下，CDN网络的内容管理服务器将权威的DNS记录发布到广泛分布的位于不同地理位置的各个CDN网络的边缘节点服务器，该DNS记录可不必使用TTL字段。

在DNS记录的更新方面，只有当域名所有者希望进行服务搬迁或者重新分配内容服务器资源时，才会更新DNS记录。在基于CDN网络的域名解析系统模型中，只有当域名所有者更新DNS记录时，CDN网络的内容管理服务器才需要再次将该域名权威的DNS记录“推”到各个CDN网络的边缘节点服务器，以取代原来冗余的信息。可见，各域名DNS记录的发布和更新过程是相互独立的，以这样的方式在CDN网络的边缘节点服务器上维持所有域名的权威的DNS记录，不会给系统造成高额的开销。

上述内容阐述了基于CDN网络的域名解析系统的模型。该模型是建立在两点假设基础之上：一是假设所有用户都使用CDN网络的边缘节点服务器作为域名解析器；二是假设所有的域名所有者都通过该CDN网络及其网络架构来管理、发布和更新DNS记录。

附图3是本发明提出的域名解析服务模型的增量部署能力和兼容性的说明图。其中包含了现行的域名解析系统架构和两套应用于不同CDN网络上的基于CDN网络的域名解析系统模型，用户和域名所有者可任意选择域名解析器和域名服务器。

在图3中，CDN网络的边缘节点服务器上需要维持两类DNS记录。一方面，CDN网络的边缘节点服务器作为域名服务器，它将维持着由域名所有者直接管理的权威的DNS记录，这类DNS记录一般相对稳定，只有当域名所有者需要进行服务搬迁或者重新分配内容服务器资源时，才需要进行更新。另一方面，CDN网络的边缘节点服务器作为域名解析器，对于没有使用该CDN网络及其网络架构来管理、发布和更新DNS记录的域名，只能通过访问现行DNS架构下的各级域名服务器，以“拉”的方式获取这些域名的DNS记录，并在缓存中维持这些DNS记录直到TTL值过期；这类缓存中的DNS记录是非权威的DNS记录，其有效期受限于TTL值，TTL值过期，CDN网络的边缘节点服务器将不在维持该DNS记录。可见，在此具有兼容性的可增量部署模型中，CDN网络的边缘节点服务器上维持着两类DNS记录：一类是由域名所有者直接管理的权威的DNS记录；另一类是通过访问现行DNS架构下的各域名服务器，再缓存下来的非权威的DNS记录。

下面将对各域名解析系统之间的兼容性以及域名解析的具体流程进行分析和阐述，可分为以下五种情况：

(1)域名解析器和域名服务器为同一个CDN网络的边缘节点服务器

此为基于CDN网络的域名解析系统模型的情况。在图3中，用户B使用CDN网络B的边缘节点服务器B2(根据IP Anycast路由，用户B被定向到CDN网络B的边缘节点服务器B2)作为域名解析器，同时用户B所访问的域名也通过CDN网络B及其网络架构来管理、发布和更新DNS记录，故CDN网络B中的各个边缘节点服务器上维持着该域名的权威的DNS记录。域名解析流程如图3中b1→b2所示，CDN网络B的边缘节点服务器B2可直接将其维持的该域名的权威的DNS记录返回给用户，而不需要再访问任何其它服务器。在此情况下，域名解析服务各方面的性能可达到最佳效果。

(2)域名解析器为CDN网络的边缘节点服务器，域名服务器为现行DNS架构中的域名服务器

此为基于CDN网络的域名解析系统模型和现行域名解析系统相互兼容和共存的情况。在图3中，用户A使用CDN网络A的边缘节点服务器A3(根据IP Anycast路由，用户A被定向到CDN网络A的边缘节点服务器A3)作为域名解析器；用户A访问的域名使用现行DNS架构下传统的域名服务器。若CDN网络A的边缘节点服务器A3的缓存中没有该域名非权威的DNS记录，域名解析流程如图3中a1→a2→a3→a4→a5所示，·CDN网络A的边缘节点服务器A3将发挥域名解析器的功能，通过递归查询，访问现行DNS架构中的各级域名服务器，最后响应用户的域名解析请求。在此情况下，域名解析服务的效率仅等同于使用现行的域名解析系统的效率，但却可降低因域名解析器端故障而影响域名解析服务的可能性。

(3)域名解析器和域名服务器为不同CDN网络的边缘节点服务器

此为两套应用于不同CDN网络上的基于CDN网络的域名解析系统模型相互兼容和共存的情况。在图3中，用户A使用CDN网络A的边缘节点服务器A3(根据IP Anycast路由，用户被定向到CDN网络A的边缘节点服务器A3)作为域名解析器；用户A访问的域名则通过CDN网络B及其网络架构来管理、发布和更新DNS记录，其域名服务器为CDN网络B的各边缘节点服务器。为了和现行域名解析系统兼容和共存，CDN网络B的各边缘节点服务器对外使用相同的IP地址，以二级域名服务器的形式注册于现行DNS架构下。域名解析流程类似于前面所述的第二种情况，如如图3中a1→a2→a3→a4’→a5所示。在此情况下，域名解析服务的效率可略有提高，域名服务器应对DoS攻击和网络故障的能力也可得到一定提高，因域名解析器端故障而影响域名解析服务的可能性也会降低。

(4)域名解析器为现行DNS架构下的各种域名解析器，域名服务器为CDN网络的边缘节点服务器

此为现行域名解析系统和基于CDN网络的域名解析系统模型相互兼容和共存的情况。在图3中，用户C使用本地的域名解析器；用户C访问的域名通过CDN网络B及其网络架构来管理、发布和更新DNS记录。域名解析流程类似于第二、三种情况，如图3中c1→c2→c3→c4’→c5所示。在此情况下，域名解析服务的效率可略有提高，域名服务器应对DoS攻击和网络故障的能力可得到了提高。

(5)使用现行DNS架构中的域名解析器和域名服务器

此为现行域名解析系统的情况，已做过详细阐述。若域名解析器缓存中没有所查询域名的非权威DNS记录，域名解析器将做递归查询，域名解析流程如图3中c1→c2→c3→c4→c5所示。

综上所述，在此增量部署模型中，若用户使用现行的域名解析器，CDN网络的边缘节点服务器仅作为现行DNS架构中的二级域名服务器，响应域名解析器的查询请求。若用户使用CDN网络的边缘节点服务器作为域名解析器，对于通过该CDN网络及其网络架构管理、发布和更新DNS记录的域名，CDN网络的边缘节点服务器上维持有该域名的权威的DNS记录，可立即响应用户的域名解析请求；对于其它域名，CDN网络的边缘节点服务器只发挥域名解析器的作用，通过查询其缓存中的非权威DNS记录，或通过递归查询，访问现行DNS架构中的各级域名服务器，获得该域名权威的DNS记录，最后响应用户的域名解析请求。

由此可见，在增量部署基于CDN网络的域名解析系统模型过程中，它可以很好的兼容和共存于现行的域名解析系统。此外，不论用户使用何种域名解析器来解析域名，域名所有者使用何种域名服务器来维持DNS记录，它都不会对现行的各种域名解析服务造成任何不利影响；同时，它还能在一定程度上提高域名解析服务的质量。随着使用此系统模型的用户和域名所有者数量的增加，它将可以渐进的取代现行的域名解析系统。

尽管上面对本发明说明性的具体实施方式进行了描述，以便于本技术领的技术人员理解本发明，但应该清楚，本发明不限于具体实施方式的范围，对本技术领域的普通技术人员来讲，只要各种变化在所附的权利要求限定和确定的本发明的精神和范围内，这些变化是显而易见的，一切利用本发明构思的发明创造均在保护之列。

Claims (3)

1.发明提出的域名解析服务模型包括了现行DNS架构中权威域名服务器和域名解析器的功能，是一个完整的架构，权威域名服务器维持域名权威的DNS记录，域名解析器响应用户的域名解析请求。在此服务模型中，DNS记录以“推”的方式发布，通过CDN网络的内容管理服务器，域名所有者将DNS记录发布到广泛分布的CDN网络节点服务器上，CDN网络节点服务器就可以发挥现行DNS架构中二级域名服务器的功能。任何更新的DNS记录都将由内容发布服务器在第一时间发布到各节点服务器，节点服务器上的DNS记录不使用TTL字段，不受TTL机制的限制。在模型中，结合了域名解析器和域名服务器功能的CDN网络的节点服务器将使用2个公网IP地址：一个为原CDN网络所配置的IP地址，用于CDN网络内部数据的传输和同步；另一个为节点服务器共用的IP地址，基于IP Anycast路由技术，用于对外提供域名解析服务，可以实现现行的域名解析系统架构和基于CDN网络的域名解析系统之间、两套应用于不同CDN网络上的基于CDN网络的域名解析系统模型之间的兼容。

2.发明提出的域名解析服务模型对DNS记录的管理、发布和更新的方式。

2.1、在对DNS记录的维护方面，域名所有者将域名服务器的维护工作外包给CDN网络，不需要对域名服务器进行维护；在配置方面，由于不必使用NS类DNS记录，且DNS记录不必使用TTL字段，可降低出现人为配置错误的可能性。

2.2、在DNS记录的发布方面，基于CDN网络的域名解析系统模型以CDN网络为平台，利用CDN网络的内容发布和复制机制，以“推”的方式发布DNS记录。在域名所有者的授权下，CDN网络的内容管理服务器将权威的DNS记录发布到广泛分布的位于不同地理位置的各个CDN网络的边缘节点服务器。

2.3、在DNS记录的更新方面，在基于CDN网络的域名解析系统模型中，只有当域名所有者更新DNS记录时，CDN网络的内容管理服务器才需要再次将该域名权威的DNS记录“推”到各个CDN网络的边缘节点服务器，以取代原来冗余的信息。各域名DNS记录的发布和更新过程相互独立，以这样的方式在CDN网络的边缘节点服务器上维持所有域名的权威的DNS记录，不会给系统造成高额的开销。

3.发明提出的域名解析服务模型的增量部署能力和兼容性。用户和域名所有者可任意选择域名解析器和域名服务器，对于现行的域名解析系统架构和基于CDN网络的域名解析系统之间、两套应用于不同CDN网络上的域名解析系统模型之间都是兼容的。

3.1、CDN网络的边缘节点服务器上需要维持两类DNS记录。一类是由域名所有者直接管理的权威的DNS记录；另一类是通过访问现行DNS架构下的各域名服务器，缓存下来的非权威的DNS记录。一方面，CDN网络的边缘节点服务器作为域名服务器，它将维持着由域名所有者直接管理的权威的DNS记录，这类DNS记录相对稳定。另一方面，对于没有使用该CDN网络及其网络架构来管理、发布和更新DNS记录的域名，只能通过访问现行DNS架构下的各级域名服务器，以“拉”的方式获取这些域名的DNS记录，并在缓存中维持这些DNS记录直到其TTL值过期，CDN网络的边缘节点服务器将不在维持该DNS记录。

3.2、基于CDN网络的域名解析系统模型，即是域名解析器和域名服务器为同一个CDN网络的边缘节点服务器。用户使用CDN网络的边缘节点服务器作为域名解析器，同时用户所访问的域名也通过CDN网络及其网络架构来管理、发布和更新DNS记录，故CDN网络中的各个边缘节点服务器上维持着该域名的权威的DNS记录，CDN网络的边缘节点服务器可直接将其维持的该域名的权威的DNS记录返回给用户，而不需要再访问任何其它服务器。

3.3、基于CDN网络的域名解析系统模型和现行域名解析系统相互兼容和共存，即是域名解析器为CDN网络的边缘节点服务器，域名服务器为现行DNS架构中的域名服务器。若CDN网络的边缘节点服务器的缓存中没有该域名非权威的DNS记录，CDN网络的边缘节点服务器将发挥域名解析器的功能，通过递归查询，访问现行DNS架构中的各级域名服务器，最后响应用户的域名解析请求。

3.4、不同CDN网络上的的域名解析系统模型相互兼容和共存，即是域名解析器和域名服务器为不同CDN网络的边缘节点服务器。用户使用CDN网络A的边缘节点服务器作为域名解析器；用户访问的域名则通过CDN网络B及其网络架构来管理、发布和更新DNS记录，其域名服务器为CDN网络B的各边缘节点服务器。CDN网络B的各边缘节点服务器对外使用相同的IP地址，CDN网络的边缘节点服务器将发挥域名解析器的功能，通过访问CDN网络B的域名服务器获取域名解析，最后响应用户的域名解析请求。

3.5、域名解析器为现行DNS架构下的各种域名解析器，域名服务器为CDN网络的边缘节点服务器。用户使用本地的域名解析器；用户访问的域名通过CDN网络及其网络架构来管理、发布和更新DNS记录。域名服务器只需要访问CDN网络的节点服务器就可以得到需要解析的域名并反馈给用户。