《域名系统高可用性方案设计与实现.pdf》由会员分享，可在线阅读，更多相关《域名系统高可用性方案设计与实现.pdf（2页珍藏版）》请在金锄头文库上搜索。
1、实践与应用 中国信息界 2 0 1 2 年第0 o N 总第2 2 2 期 域名系统高可用性方案设计与实现 汤杰雄 ( 北京理工大学电子工程系 北京 1 0 0 0 8 1 ) 摘 要：D N S 系统是互联 网重要的基础设施，一旦因软硬件故障、遭受攻击、负载过重等原因变得不可用，将 导致 用 g D N S 系统的 用户 无法访 问所有互联 网上 的域名 ，从 而使 网络基本处于瘫痪状 态。对D N S 系统的安 全防 护应从物理安全、主机安全、网络安全、应用及数据安全、威胁防护五个方面进行考虑，应对D N S 系统通过 负 载均衡等技 术进行 高可用性设计 。 关键词 ：D N S 高可用
2、性负载均衡 0引言 DNS( Do ma i n Na me S y s t e m，域名系统 )是I n t e r n e t 的 一 项核心服务 ，它的本质是将域名和I P 地址相互映射的一 个分布式数据库，能够使人更方便地访问互联网，而不用 去记住能够被机器直接读取的I P 数串。DNS 是I n t e r n e t 的基 石，是互联网的起点和入口，是全球互联网通信的基础， 基于I n t e r n e t 的各种We b J 务、 E m a i l ) 务、路由服务都依 赖或者间接依赖DNS 。 然而，作为互联网的早期协议 ，DNS 从设计之初就建 立在互信模型的基础之上，是
3、一个完全开放的协作体系， 同时对网络基础设施和核心骨干设备的攻击没有给予足够 重视 ，使得 DNS E 容易遭受攻击。2 0 0 7 年2 月5 日至6 日， 黑客通过僵尸网络向根服务器发起了长达1 2 个小时的攻 击，1 3 个根服务器中至少有3 个遭受了攻击，其中包括 o r g 域顶级名字服务器 、美国国防部运行的根服务器及互联网 域名与地址管理机构 ( I C A NN)下属的根服务器。2 0 0 9 年 5 月1 9 日2 1 时起，由于暴风影音网站域名解析系统受网络攻 击出现了故障，致使运营商递归域名解析服务器阻塞，从 而造成江苏、河北、山西、广西、浙江等5 省份互联网用户 无法正
4、常上网。2 0 1 0 年1 月1 2 日百度域名被劫持 ，导致多个 地区在长达4 4 , 时内无法正常访问百度，有的地区在2 4 i x 时 后才恢复正常。 作为网络管理者 ，如何加强防范对DN S 的攻击、确保 DNS 系统的高可用性，是保障网络平稳运维的重要课题。 具体来说 ，有以下两个方面的问题亟待解决 ：第一，保障 DNS 系统自身及所处网络环境的安全；第二，DNS N务的 高可靠性、可用性、连续性。 1 D N S 系统及网络安全 1 1 物理安全 在物理介质层次上 ，对DNS 系统进行安全保护，保 护其免遭地震、水灾 、火灾等事故以及人为行为导致的破 坏 。主要措施包括物理位置选
5、择 、物理访问控制 、防盗窃 和防破坏、防雷 、防火、防静电、防尘、防电磁干扰等。 1 _ 2 主机安全 在主机安全层次上，主要包括身份鉴别、访问控制、安 全审计、剩余信息保护、入侵防范、恶意代码控制、资源控 制等，主要应该采取的措施和技术手段包括身份认证 、主机 安全审计、HI DS 、主机防病毒系统等，通过这些设备的部 署和措施的落实，保障DNS系统在主机层面的安全。 1 3 网络安全 在网络安全层次上 ，主要做到以下几个方面的安全防 护：网络结构安全、网络访问控制、网络安全审计 、边界 完整性检查、网络入侵防范、恶意代码防范、网络设备防 护。主要安全措施和技术包括：防火墙、I DS I
6、P S 、网络安 全审计系统、防病毒、防病毒网关、强身份认证等。 网络层还要解决路由保障和带宽保障的问题。路由保 障是指DNs 服务器与互联网之间路由的保障，是指DNS 系 统可以实现对互联网根域名服务器和总公司域名服务器的 访问，其配置是整体综合解决方案的前提。带宽保障是指 为了最大可能的避免网络瓶颈，我们需要将D NS J 务器尽 可能接近网络出口处 ，这样可保证带宽足够，确保在网络 拥塞的情况下，提升域名解析响应速度。 1 4 应用及数据安全 在应用及数据安全层面 ，主要对DNS 应用系统及其数 据进行保护 ，主要技术措施包括身份鉴别、访问控制、安 全审计、系统容错、资源控制、数据完整性
7、和保密性、数 据备份和恢复。 1 5 DN S系统防护重点 一 DNS 系统的业务可用性是第一位的，因此其安全防护 重点是影响其可用性的安全威胁 ，) DDo S 攻击、缓存投 毒攻击、域名篡改等 ，需要部署相应的DNS 系统安全防护 产品来保障DNS 系统免受这类攻击。 DNS N务本身需要对公众开放 ，甚至一般都不禁 】 _卜 P i n g 包，因为一般网络用户想了解DNS 是否可用的时候 ， 都是发几个P i n g 包，而不是使用n s l o o k u p 命令。因此对 中国信息界 2 0 1 2 年第o 8 B 总第2 2 2 期 实践与应用 DNS 的保护要充分考虑端口开放的
8、取舍问题。 2 D N S 高可用性设计 随着网络规模的快速发展，网络所承载的业务量也越 来越大 。当出现大量并发访问时 ，DNS 系统往往不堪重 负，同时老化的DNS 系统不够稳定，网络访问随时有可能 中断。在此情况下，传统的方法是升级服务器处理能力， 然而，抛弃现有设备去做硬件升级一方面会造成资源的浪 费，另一方面当DNS 对单机性能要求达到一定量后，设备 的价格将成几何倍数的增长 ，甚至有时候性能再好的设备 也不能满足当前业 量增长的需求。同时，对于固定I P 地 址用户，我们很难像对拨号用户那样动态调整DNS 的I P 地 址，即使是拨号用户，一旦服务器故障，由于没有热备份 保护，绝大
9、部分网络业务都会中断。 理想的应用模式应 当是 ：对外公布一个DNS 的I P 地 址，内部通过多个服务器建立集群，只需要随着业务发展 增加集群内服务器数量。负载均衡 ( 1 o a d B a l a n c e )技术正 好可以满足这种需求。这种有效、透明且可无限扩展的方 法已经开始在各类多层结构网络应用中普及。 一 个良好的集群系统应当具有以下特点： ( 1 )可靠性：避免单点故障，不管是网络还是服务器 硬件故障均不中断业务。 ( 2)完整眭：当某一台DNS 进程发生故障，可以自动 从集群中退出。 ( 3 )可扩展眭：可以通过逐步增加服务器来满足业务发 展的需要，避免一次购买大容量设备造
10、成的巨大成本压力。 3 设计实例 信的出口链路 ，网通链路作为次优选择链路； ( 3 ) 内网用户访问其他地址段的服务器，由负载均衡设 备基于动态就近眭判断结果，自动的选择一条最优的链路。 DNS 系统设置在数据中心中，多台D NS J 务器连接到 负载均衡设备中。负载均衡层也是数据中心的应用前端， 它把数据流量依据订制的策略分配到提供相同服务的多个 服务器上。 考虑到可管理性以及网络安全技术的发展 ，方案中选 用了一个UT M设备来集中、高效解决数据中心的安全防护 问题。DNS 系统的安全性保障主要靠数据中心出口防火墙 来完成 ，其原理是依靠防火墙独有的包过滤技术，对访问 DNS 务器的流量
11、进行基于目的地址的过滤。在UTM设 备上对DNS 端口进行了设置。在保证P I NG和DNS 务所 用到相应端 口打开的前提下，关闭其他无关的端口，保障 DNS 系统及服务器整体的安全性。 通过互联网出口的防火墙，为DNS 做了路 由保障和带 宽保障。 路 由保障：在互联网出口三台防火墙上完成单项从 t r u s t 区域 ；Ij u n t rus t 区域主动发起访问策略权限的配置 ， 实现 DNS 系统I P 地址可以顺利访问互联网根域名服务器。 带宽保障：由于出口链路始终保持在7 0 左右的带宽 利用率 ，因此实现DNS 应用层的带宽保障就是在互联网出 口利用带宽管理系统特有的深度包
12、检测 ( DP I )技术，实 现对DNS 应用层业务进行识别，进而在对数据流量进行过 滤的前提下，进行相应配置，保障其流量不受过滤策略的 影响。同时在应用分类的基础上，对识别出来的DNS 确认 帧 ( AC K)采取差异化动态管理机制，按照一定的服务 规则对其设置差异化服务策略，从而确保DNS 关键应用的 A CK 优先转发，确保在网络拥塞的情况下，提升域名解析 响J立速度。 按照以上原则设计，已经实施并投入运行的一个DNS 系统如图1 所示。4结论 i 2 I 辨 1 I s P j II g 7 g 卿 彝 m 图1 DN S 系统设计 实例 在这个方案中，由于企业网规模较大 ， 通过多
13、个I S P 接 入互联网。多条I S P 线路通过防火墙、负载均衡设备与企业 网相连。 目前的互联网状况是：同一运营商的网络间访问速度较 快 ， 但是不同运营商间的相互访问则有较大的延迟。因此， 为了给企业网用户提供更高质量和快速的服务 ， 在链路负载 均衡设备上采用如下静态就近性选路策略： ( 1 ) 内网用户访问属于网通地址段的服务器，首选网 通的出口链路，电信链路作为次优选择链路； ( 2)内网用户访问属于电信地址段的服务器，首选电 依据DNS 高可用性方案设计的DNS 系统实现了多个 目 标。一是多台DNS 通过负载均衡技术面向用户显示为一个 I P ，提高了系统的可靠性和抗攻击能力
14、。二是完善的数据 中心安全防护最大程度地抵御了网络攻击。三是DNS 和互 联网出口系统配合，实现了最优路径的选择。 以上方案已实施一年多，虽发生过服务器硬件故障等 问题，但D N s 服务从未间断，保障了网络的稳定运行。 参考文献： 1杨曙明 电信运营商D N S 系统安全体系的构建 科 技情报开发与经济， 2 0 1 0 ， 2 0 ( 3 2 ) 2 彭滋霖 D N S 安全研究 电脑知识与技术， 2 0 1 0 ， 6 ( 2 ) 3赵 曼， 等 D N S 服 务器 的设 计与实 现 科技 信 息， 2 0 1 0 ( 5 ) 4李恩宝， 等 域名系统的部署及安全性分析与建 议 信息安全与通信保密， 2 0 1 O ( 5 ) 5李洋 D N S 解析路 由在 多链路 网络 中的应用研 究 实验科学与技术， 2 0 1 O ， 8 ( 1 ) 6林 天 山 D N S 服 务器 集 群解 决方 案 电信 技 术， 2 0 1 O ( 1 ) 3 1
