10月21日，美國(guó)發(fā)生了史上最為嚴(yán)重的DDos攻擊事件，導(dǎo)致用戶無(wú)法訪問(wèn)Twitter、CNN、Spotify、Github、Reddit、Airbnb、PayPal、Netflix、Yelp、亞馬遜云等大量知名網(wǎng)站和應(yīng)用。
這并非是Twitter等網(wǎng)站直接受到了攻擊，也并非美國(guó)的骨干網(wǎng)堵塞，而是這些網(wǎng)站都使用了一家叫Dyn的DNS服務(wù)商，后者遭受了DDos攻擊，波及其客戶。
DNS是什么？
每一臺(tái)接入互聯(lián)網(wǎng)的設(shè)備，包括網(wǎng)站的服務(wù)器，我們用的電腦、手機(jī)，將來(lái)的智能電冰箱等，都需要有一個(gè)唯一的IP地址，這樣才能連網(wǎng)并進(jìn)行信息交換。根據(jù)IP協(xié)議和二進(jìn)制換算，IP地址由4段數(shù)字組成，每一段最大不能超過(guò)255，比如 222.33.44.5。后來(lái)連網(wǎng)的設(shè)備越來(lái)越多，IP地址不夠用，有的設(shè)備在連網(wǎng)的時(shí)候，才分配一個(gè)地址給它，斷網(wǎng)后就將地址分配給別的設(shè)備，這叫動(dòng)態(tài)IP。另外，多數(shù)的家庭和辦公室，都是先組建自己的局域網(wǎng)，然后再通過(guò)同一個(gè)路由接入互聯(lián)網(wǎng)。從外部來(lái)看，IP都是同一個(gè)，局域網(wǎng)內(nèi)的各個(gè)設(shè)備，再分別設(shè)置由192或者10或者172開(kāi)頭的內(nèi)網(wǎng)預(yù)留IP地址。再后來(lái)，干脆搞了個(gè)IPV6，將IP地址擴(kuò)展成6段表述，而且改成為十六進(jìn)制，號(hào)稱數(shù)量足夠?yàn)榈厍蛏厦恳涣Ｉ匙优鋫湟粋€(gè)IPV6地址。
理論上，我們只需要知道各個(gè)網(wǎng)站的IP地址，就能訪問(wèn)了。但I(xiàn)PV4一串?dāng)?shù)字實(shí)在太難記了，IPV6更是超出人類極限。于是有了易記的域名，類如xueqiu.com。用戶敲下這網(wǎng)址后，互聯(lián)網(wǎng)上有專門的服務(wù)，幫你把這轉(zhuǎn)換成對(duì)應(yīng)的IP地址。提供域名和IP地址轉(zhuǎn)換的，就是DNS解釋服務(wù)商。大家平時(shí)上網(wǎng)，并不會(huì)感覺(jué)到他們的存在，一旦出事，都是大災(zāi)難。正如這次的DNS服務(wù)商Dyn被DDos攻擊，導(dǎo)致其承擔(dān)的Twitter等域名解釋工作癱瘓，影響半個(gè)美國(guó)用戶的訪問(wèn)這些網(wǎng)站。2009年的“5·19事件”，更為嚴(yán)重，半個(gè)中國(guó)的互聯(lián)網(wǎng)癱瘓。起因是一家DNS服務(wù)商DNSPod遭受攻擊，導(dǎo)致暴風(fēng)影音的域名無(wú)法解釋，由于暴風(fēng)影音客戶端裝機(jī)量太大，而且同時(shí)向本地電信網(wǎng)絡(luò)發(fā)出DNS解釋請(qǐng)求，直接導(dǎo)致電信的DNS解釋癱瘓，用戶所有需要通過(guò)域名進(jìn)行的服務(wù)，都被中斷，沿海省市，幾乎無(wú)一幸免。
DNS與IP地址對(duì)應(yīng)關(guān)系誰(shuí)來(lái)決定？
首先，是域名的所有者（管理者），在自己的DNS服務(wù)商里，設(shè)置好對(duì)應(yīng)關(guān)系。然后DNS服務(wù)商，將這個(gè)信息，廣播到全世界所有的DNS服務(wù)器，讓它們更新信息。全世界無(wú)數(shù)的DNS服務(wù)器，如果信息不一致，以誰(shuí)的為準(zhǔn)？13臺(tái)根服務(wù)器（背后是幾百臺(tái)機(jī)器），是全球最高層級(jí)的DNS服務(wù)器，然后是各個(gè)國(guó)家（及其授權(quán)）的域名解釋結(jié)構(gòu)，再下一級(jí)是商業(yè)域名服務(wù)商。理論上所有的域名解釋，都需要通過(guò)最高層級(jí)的跟服務(wù)器或者由其指定。那也就意味著，如果這13臺(tái)根服務(wù)器被攻擊，全世界的網(wǎng)絡(luò)都可能會(huì)癱瘓。
我們電腦等設(shè)備連接互聯(lián)網(wǎng)時(shí)，也可以指定由哪個(gè)DNS服務(wù)器進(jìn)行解釋，但絕大多數(shù)人并不會(huì)做此操作，那么路由或者你的網(wǎng)絡(luò)接入商會(huì)自動(dòng)幫你分配。如果你的路由或者接入商那里被做了手腳，就有可能將A站錯(cuò)誤地解釋到B站去，這就是DNS劫持，這方法經(jīng)常被網(wǎng)絡(luò)接入商用來(lái)謀利。另外，一些服務(wù)器，被安放在主要的互聯(lián)網(wǎng)出口，偽裝成DNS服務(wù)器，然后對(duì)預(yù)設(shè)的網(wǎng)址，作出錯(cuò)誤解釋，這是DNS污染，被用來(lái)屏蔽特定的網(wǎng)站和內(nèi)容......（此處3000字被屏蔽） （艾美谷 梁劍）
相關(guān)：菜鳥(niǎo)貼：DDoS攻擊的原理和防范
聯(lián)系客服
