運營商智能DNS系統(tǒng)

1、成果上報申請書成果名稱運營商智能dns系統(tǒng)成果申報單位北京公司成果承擔(dān)部門/分公司網(wǎng)絡(luò)部、網(wǎng)運中心項目負責(zé)人姓名項目負責(zé)人聯(lián)系電話和email項目參與人姓名白愛軍成果專業(yè)類別*數(shù)據(jù)網(wǎng)絡(luò)所屬專業(yè)部門*網(wǎng)絡(luò)線條成果研究類別*新產(chǎn)品開發(fā)省內(nèi)評審結(jié)果*優(yōu)秀關(guān)鍵詞索引（35個）運營商 智能 dns idc應(yīng)用投資80萬元產(chǎn)品版權(quán)歸屬單位北京移動對企業(yè)現(xiàn)有標(biāo)準(zhǔn)規(guī)范的符合度：項目成果符合企業(yè)現(xiàn)有的標(biāo)準(zhǔn)規(guī)范。如果該成果來源于研發(fā)項目，請?zhí)顚懷邪l(fā)項目的年度、名稱和類型（類型包括：集團重點研發(fā)項目、集團聯(lián)合研發(fā)項目、省公司重點研發(fā)項目、其他研發(fā)項目），可填寫多個：集團2010年聯(lián)合研發(fā)項目，成果內(nèi)容均由北京公司獨

2、立承擔(dān)完成。成果簡介：簡要描述成果目的和意義，解決的問題，取得的社會和經(jīng)濟效益。隨著中國移動數(shù)據(jù)業(yè)務(wù)的大力發(fā)展，網(wǎng)內(nèi)idc資源不足的問題越發(fā)突出，然而在中國移動引入部分idc資源后我們發(fā)現(xiàn)，盡管中國移動引入了idc資源，部分中國移動用戶不能訪問中國移動引入的這些idc資源，反而還去訪問在電信聯(lián)通網(wǎng)內(nèi)的相同資源，其本質(zhì)問題是dns技術(shù)體制的問題，同時，我們發(fā)現(xiàn)由于dns技術(shù)架構(gòu)的問題，運營商dns服務(wù)器解析效率低、安全性差（電信5.19 dns重大電信故障就是由于dns架構(gòu)不合理所導(dǎo)致）；另外，由于運營商dns完全是一個通道，其解析結(jié)果完全受icp的授權(quán)dns服務(wù)器“控制”，降低了其解析效率和性

3、能。 北京公司通過詳細分析傳統(tǒng)dns技術(shù)體制的不足結(jié)合中國移動數(shù)據(jù)業(yè)務(wù)發(fā)展的實際需求，在體系架構(gòu)、解析流程、個性化功能等多層面對傳統(tǒng)dns技術(shù)的架構(gòu)和體制進行優(yōu)化完善，形成了整套的技術(shù)方案并成功開發(fā)了一套運營商智能dns系統(tǒng)，系統(tǒng)即將上線運行，相關(guān)成果已申請四項國家專利（兩項已通過集團評審、另外兩項專利正在集團評審中），依托該系統(tǒng)正在撰寫運營商智能dns技術(shù)規(guī)范。該系統(tǒng)能夠?qū)崿F(xiàn)本網(wǎng)用戶訪問本網(wǎng)idc資源的智能導(dǎo)向控制，并通過多種手段提升系統(tǒng)的解析效率及安全性，大大提高了用戶感知，其主要功能如下：n 優(yōu)化系統(tǒng)架構(gòu)：現(xiàn)網(wǎng)dns服務(wù)器升級為前端dns服務(wù)模塊，處理緩存查詢；后端智能dns服務(wù)器處理迭

4、代查詢及其它優(yōu)化功能；n idc資源定位精確性：dns遞歸查詢結(jié)果經(jīng)智能dns處理后，可準(zhǔn)確定位至用戶歸屬isp的內(nèi)部idc資源，解析結(jié)果不再受icp及其它授權(quán)域名服務(wù)器控制；n 優(yōu)化解析流程，提升dns解析效率：優(yōu)化解析流程，由智能dns代理前端dns完成遞歸查詢功能，并對遞歸查詢結(jié)果的ttl位及tc位進行優(yōu)化改寫；智能dns僅完成緩存查詢及本域查詢功能；n 安全性提升：前端dns關(guān)閉tcp查詢功能，規(guī)避基于tcp的網(wǎng)絡(luò)攻擊；ttl值的優(yōu)化改寫，規(guī)避緩存毒化的網(wǎng)絡(luò)攻擊；前端dns/智能dns上啟用對源地址的限制功能，規(guī)避了其它運營商用戶的網(wǎng)絡(luò)攻擊；有條件地啟用dnssec功能；n 啟用any

5、cast：前端多點dns服務(wù)器啟用anycast的負載均衡方式，并統(tǒng)一將迭代查詢forward給后端智能dns服務(wù)器；n 域名封堵及增值功能：實現(xiàn)不良信息網(wǎng)站域名的封堵；能夠?qū)崿F(xiàn)將錯誤域名訪問、不良信息網(wǎng)站訪問解析至預(yù)配置頁面（廣告頁面等）；同時利用此功能，可滿足預(yù)制域名功能；省內(nèi)試運行效果：描述成果引入后在本省試運行方案、取得的效果、推廣價值和建議等。本系統(tǒng)的部署非常簡單，如下圖所示，僅需將現(xiàn)網(wǎng)dns服務(wù)器關(guān)閉迭代查詢功能，將需要迭代查詢的域名forward給后端智能dns服務(wù)器即可，智能dns服務(wù)器下掛在cmnet網(wǎng)絡(luò)上，前端dns服務(wù)器與智能dns服務(wù)器之間的通信通過cmnet的igp協(xié)

6、議進行聯(lián)通。由后端智能dns服務(wù)器完成遞歸查詢及其它優(yōu)化功能。本系統(tǒng)的開發(fā)完全是中國移動自主知識產(chǎn)權(quán)，相關(guān)成果已申請四項國家專利（兩項已通過集團評審、另外兩項專利正在集團評審中），依托該系統(tǒng)正在撰寫運營商智能dns技術(shù)規(guī)范。本系統(tǒng)的推廣價值極高，通過部署能夠解決現(xiàn)網(wǎng)idc資源定位差、系統(tǒng)架構(gòu)不合理、安全性差及解析效率低等諸多不足，改善用戶感知，提高dns系統(tǒng)本身性能。外省對該系統(tǒng)的引入不需要每省部署一個智能dns系統(tǒng)，可以多個省共用一個智能dns后端服務(wù)器實現(xiàn)，大大降低投資成本。文章主體（3000字以上，可附在表格后）：根據(jù)成果研究類別，主體內(nèi)容的要求有差異，具體要求見表格后的“填寫說明6”。

7、一項目背景1dns在互聯(lián)網(wǎng)訪問中的作用dns解析是用戶訪問互聯(lián)網(wǎng)的第一步，將用戶需要訪問的網(wǎng)站域名翻譯為響應(yīng)的服務(wù)器ip地址，為用戶與網(wǎng)站服務(wù)器的連接進行導(dǎo)航，dns解析結(jié)果的合理性本質(zhì)決定用戶訪問網(wǎng)頁的感知。 一般用戶在瀏覽器輸入域名時，本地dns系統(tǒng)會根據(jù)不同類型域名對應(yīng)三種不同的解析策略：n 本域查詢：若是查詢本地域名，會直接返回網(wǎng)站服務(wù)器的ip地址，比如北京移動接入用戶訪問北京移動網(wǎng)站時，由于北京移動網(wǎng)站是歸屬于北京移動本地dns服務(wù)器解析，北京移動本地dns服務(wù)器會直接把北京移動網(wǎng)站的ip地址返回給用戶；n 緩存查詢：若是查詢非本地域名，但在dns服務(wù)器的緩存中有相關(guān)域名的解析記錄（

8、最近一段時間內(nèi)，解析過此域名的ip，相關(guān)記錄保存在緩存中還沒有刪除），dns服務(wù)器會到緩存中提取域名的解析ip地址返回給用戶；n 迭代查詢：若是查詢非本地域名，且需要查詢的域名在緩存中也沒有相關(guān)記錄，則通過迭代過程查詢該域名對應(yīng)的ip地址，以查詢?yōu)槔涞樵冞^程如下： 用戶主機將域名查詢請求發(fā)給本地dns服務(wù)器； 本地dns服務(wù)器收到請求后在本地域名數(shù)據(jù)庫及緩存中查找，如果查找到相關(guān)記錄，就將該域名對應(yīng)的ip地址發(fā)給用戶主機； 若dns服務(wù)器在本地域名數(shù)據(jù)庫及緩存中未查詢到相關(guān)記錄，本地dns服務(wù)器向自己的根域服務(wù)器發(fā)出解析請求； 若根域dns服務(wù)器無法解析，則返回管理cn域的dns服務(wù)器

9、的ip地址； 本地dns服務(wù)器再將請求交給管理cn域的dns服務(wù)器； 若管理cn域的dns服務(wù)器無法解析，則返回管理域的dns服務(wù)器的地址； 本地dns服務(wù)器再次把請求交給管理域的dns服務(wù)器，管理域的dns服務(wù)器再返回域名服務(wù)器的地址； 最終，本地dns服務(wù)器從域名服務(wù)器獲得網(wǎng)站服務(wù)器的ip地址結(jié)果，并將結(jié)果返回給接入用戶；2運營商側(cè)的dns系統(tǒng)在數(shù)據(jù)業(yè)務(wù)體驗中的不足： （1）傳統(tǒng)dns系統(tǒng)解析地址不能貼近用戶歸屬運營商網(wǎng)絡(luò)由于dns技術(shù)本身的問題，會導(dǎo)致中國移動引入的idc資源不能被部分中國移動用戶訪問，并且該idc資源還會被部分聯(lián)通電信用戶訪問。 如上圖所示，中國移動在引入某些網(wǎng)站的id

10、c資源以后，中國移動用戶還會訪問在聯(lián)通和電信網(wǎng)內(nèi)的這些idc資源。這條訪問路徑會跨越兩個運營商網(wǎng)絡(luò)，訪問路由變長，在其它運營商網(wǎng)絡(luò)內(nèi)的路徑無法保障其qos，會導(dǎo)致數(shù)據(jù)丟包、時延抖動增加，嚴(yán)重影響用戶感知。即中國移動在引入idc后希望中國移動用戶按照流量1的路由訪問，但目前中國移動用戶還是按照流量2的路由訪問。下表為實際測試數(shù)據(jù)，表明運營商a的接入用戶在分別訪問新浪網(wǎng)站在運營商a的接入服務(wù)器和運營商b的接入服務(wù)器時的數(shù)據(jù)對比，從實測數(shù)據(jù)中可以發(fā)現(xiàn)，ping時延最大相差100倍以上，網(wǎng)頁總時延及網(wǎng)頁總速度相差2倍，在網(wǎng)頁訪問成功率上也有一定差距。表1：中國移動接入用戶訪問icp資源的不同路由的指標(biāo)

11、對比發(fā)生這種現(xiàn)象的本質(zhì)原因是盡管中國移動引入了idc，但icp的授權(quán)dns服務(wù)器反饋給運營商dns服務(wù)器的域名解析ip地址依舊是在電信聯(lián)通網(wǎng)內(nèi)的網(wǎng)站ip地址，也就是說運營商dns服務(wù)器還完全是一個通道，盡管引入了idc資源，但中國移動用戶是否能訪問到本網(wǎng)內(nèi)的idc資源還由icp決定。（2）傳統(tǒng)dns服務(wù)器系統(tǒng)安全行差傳統(tǒng)dns服務(wù)器的安全性主要體現(xiàn)在兩個方面: 一時容易收到緩存攻擊，攻擊者會冒充icp的dns授權(quán)服務(wù)器給運營商dns服務(wù)器發(fā)虛假的dns響應(yīng)報文，并篡改報文中的a記錄和ttl時間，把用戶請求正常域名劫持到一個非法網(wǎng)站上并將ttl值修改為一個極大的時間，使得在相當(dāng)長一段時間內(nèi),運營

12、商服務(wù)范圍的所有用戶都會被劫持到非法網(wǎng)站，這種方式目前只能通過手工的緩存清除方式進行解決； 另外一個安全問題，dns應(yīng)用是基于tcp和udp的53號端口，用戶首先基于udp的53號端口進行訪問，在訪問失敗后會啟動tcp的dns請求，然而，針對dns的攻擊有基于udp的ddos和基于tcp的ddos，系統(tǒng)大部分時間不利用tcp進行dns的應(yīng)用，確為基于tcp的ddos攻擊打開了攻擊的大門。（3）傳統(tǒng)dns服務(wù)器的解析效率低傳統(tǒng)dns服務(wù)器的解析效率低主要體現(xiàn)在三個方面: 首先是傳統(tǒng)的dns服務(wù)器是將本域查詢與迭代查詢在一個物理實體上實現(xiàn)。緩存查詢占整個dns解析量的80以上，解析時延一般為毫秒級

13、，時延相對較短；迭代查詢量不到整個dns解析量的20，解析時延一般為秒級，時延相對較長。當(dāng)dns服務(wù)器被攻擊時，一般針對迭代查詢，系統(tǒng)會被迭代查詢占用掉所有系統(tǒng)資源（cpu及內(nèi)存等），使得系統(tǒng)無法再為大量的緩存查詢提供服務(wù)。邏輯上分開后，即使網(wǎng)絡(luò)遭受針對迭代查詢的攻擊，緩存查詢不會受到影響。 傳統(tǒng)的dns解析流程中，緩存查詢及迭代查詢在一個物理系統(tǒng)中實現(xiàn)，他們之間的實現(xiàn)邏輯順序是，當(dāng)之前dns解析結(jié)果的生命周期為0時，解析記錄在緩存中刪除，若再有用戶請求該域名，運營商dns發(fā)起迭代查詢，這個時間一般會比較長（秒級），同時，在迭代查詢過程中，若有同樣的dns域名請求，運營商dns還會發(fā)起同樣的域

14、名解析請求進行迭代查詢。也就是說按照傳統(tǒng)流程的解析過程，一方面使得dns解析時延非常大，另外會發(fā)生在迭代查詢階段，會同時掛起多個針對同一個域名的解析請求，大大消耗進程資源及系統(tǒng)資源、降低dns解析效率，并容易收到dns攻擊流量的控制。 ttl值不合理導(dǎo)致dns解析效率低下：部分dns解析報文到達用戶本地dns服務(wù)器后，其報文生命周期（報文中通過ttl值標(biāo)識）很短，比如ttl17時（甚至部分dns響應(yīng)報文中ttl0），該報文只在緩存中生存17秒后就被刪除，也就是說，17秒之內(nèi)有用戶請求同一個域名解析時，采用緩存查詢，當(dāng)17秒之后在有用戶請求該域名的解析時，采用迭代查詢。ttl值偏小，會使得dns

15、系統(tǒng)在短期內(nèi)重復(fù)迭代查詢同一個域名的ip地址，降低整個dns系統(tǒng)的解析效率。（4）傳統(tǒng)dns系統(tǒng)無法對不良域名進行封堵錯誤域名的解析量占總解析量的14，大大降低了dns系統(tǒng)的解析效率，傳統(tǒng)dns服務(wù)器無法規(guī)避，不良信息網(wǎng)站訪問如何通過智能dns系統(tǒng)進行可配置的規(guī)避。 二解決方案詳細內(nèi)容1解決方案詳細介紹通過對傳統(tǒng)dns技術(shù)架構(gòu)進行優(yōu)化，將傳統(tǒng)dns服務(wù)器按照功能割裂為前端dns服務(wù)模塊和后端智能dns服務(wù)模塊，前端dns服務(wù)模塊負責(zé)本地查詢和緩存查詢，將需要迭代查詢的域名發(fā)送給后端智能dns服務(wù)模塊；后端智能dns服務(wù)模塊負責(zé)迭代查詢，并針對迭代查詢結(jié)果（icp側(cè)dns解析服務(wù)器返回的dns解

16、析響應(yīng)）進行應(yīng)用層信息改寫a記錄改寫，對應(yīng)用層信息中的所有a記錄進行查詢，將對應(yīng)ip地址是歸屬運營商的a記錄放在dns響應(yīng)報文的第一個位置，報文重新封裝后返回給前端dns服務(wù)模塊；若所有a記錄中均沒有歸屬運營商的ip地址，則不作處理直接將迭代查詢得到的dns響應(yīng)報文直接透傳給前端dns服務(wù)模塊。針對可能存在的為接入用戶提供dns服務(wù)的dns服務(wù)器歸屬的運營商與接入用戶所屬的運營商不一致的情況，前端dns服務(wù)模塊接收到接入用戶的域名解析請求時，將接入用戶的ip地址與歸屬運營商的ip地址段進行匹配，如果匹配正常執(zhí)行后續(xù)流程，如果不匹配，說明接入用戶來自其它運營商的網(wǎng)絡(luò)，僅為其進行本域查詢（比如：d

17、ns服務(wù)器歸屬運營商的官方網(wǎng)站等等），不執(zhí)行緩存查詢和解析查詢。同時在后端智能dns服務(wù)模塊根據(jù)需求添加ttl值策略改寫和tc為改寫功能：ttl值改寫：將傳統(tǒng)dns優(yōu)化為前端及后端兩級架構(gòu)并分別在前端模塊及后端模塊上實現(xiàn)緩存功能，前端緩存及后端緩存的ttl值能夠智能修改并將二級緩存的ttl值設(shè)置一定的時間差值，以保證能對icp返回的不合理ttl值進行智能修改，更重要的是，由于時間差的存在，完全規(guī)避了在用戶發(fā)起dns請求時進行dns迭代查詢的可行性，大大提高dns解析時延、設(shè)備性能及安全性。tc位改寫：基于udp的dns響應(yīng)報文超過512個字節(jié)時，dns響應(yīng)報文只返回前512個字節(jié)，并將dns響

18、應(yīng)報文中tc位為置位為1，表示該響應(yīng)報文是被截斷的，此時用戶會認為該報文不完整，重新基于tcp發(fā)起dns的請求。通過在后端智能dns服務(wù)器上實現(xiàn)響應(yīng)報文改寫功能對超長報文只保留dns響應(yīng)報文中前n個ip地址的完整信息（n為一設(shè)定數(shù)量，n小于等于27時，能保證字節(jié)在512以內(nèi)）；tc位重置功能針對于超長的udp響應(yīng)報文進行tc位重置，由“1”改為“0”，當(dāng)這個被修改過的響應(yīng)報文返回給前端dns服務(wù)模塊后，前端dns服務(wù)模塊會認為該報文是正常的dns響應(yīng)報文，返回給用戶后，不再會發(fā)起基于tcp的連接。通過屏蔽基于tcp的dns連接，規(guī)避了系統(tǒng)受到基于tcp的ddos攻擊，提升了系統(tǒng)的抗ddos攻擊

19、能力。同時，由于不會再發(fā)起tcp的連接進行域名的重新查詢，提高了dns解析效率，降低了dns的解析時延，大大提高了用戶訪問icp資源的感知。2現(xiàn)網(wǎng)部署方式本系統(tǒng)的部署非常簡單，如下圖所示，僅需將現(xiàn)網(wǎng)dns服務(wù)器關(guān)閉迭代查詢功能，將需要迭代查詢的域名forward給后端智能dns服務(wù)器即可，智能dns服務(wù)器下掛在cmnet網(wǎng)絡(luò)上，前端dns服務(wù)器與智能dns服務(wù)器之間的通信通過cmnet的igp協(xié)議進行聯(lián)通。由后端智能dns服務(wù)器完成遞歸查詢及其它優(yōu)化功能。外省對該系統(tǒng)的引入不需要每省部署一個智能dns系統(tǒng)，可以多個省共用一個智能dns后端服務(wù)器實現(xiàn)，大大降低投資成本。三項目主要創(chuàng)新點北京公司通過詳細分析傳統(tǒng)dns技術(shù)體制的不足結(jié)合中國移動數(shù)據(jù)業(yè)務(wù)發(fā)展的實際需求，在體系架構(gòu)、解析流程、個性化功能等多層面對傳統(tǒng)dns技術(shù)的架構(gòu)和體制進行優(yōu)化完善，形成了整套的技術(shù)方案并成功開發(fā)了一套運營商智能dns系統(tǒng)。本