宋林健/SONG Linjian，馬永/MA Yong，梁卓/LIANG Zhuo

（阿里云計算有限公司，中國 北京 100102）

互聯(lián)網(wǎng)域名系統(tǒng)（DNS）提供了互聯(lián)網(wǎng)域名和互聯(lián)網(wǎng)協(xié)議（IP）地址兩種網(wǎng)絡(luò)標(biāo)識符體系之間的銜接轉(zhuǎn)換。隨著新技術(shù)新場景新模式的涌現(xiàn)，企業(yè)信息架構(gòu)在持續(xù)升級，數(shù)字化建設(shè)朝著云管邊端一體化演進(jìn)，萬物互聯(lián)格局已然顯現(xiàn)。有IP 的地方就有DNS 尋址。尋址的形態(tài)滲透在云管邊端各個場景中，從以南北流量為主的互聯(lián)網(wǎng)通用互聯(lián)場景到以東西流量為主的企業(yè)機(jī)房場景，再到云技術(shù)服務(wù)的云內(nèi)IP尋地和多云的云間尋址。作為互聯(lián)網(wǎng)的中樞神經(jīng)，DNS在網(wǎng)絡(luò)安全和企業(yè)數(shù)字化治理體系中扮演至關(guān)重要的角色，例如：2021 年6 月，美國政府要求域名注冊局對36 個伊朗媒體域名進(jìn)行“查封”[1]，引起了國際社會的關(guān)注。2021年10 月，F(xiàn)acebook DNS 服務(wù)不可用導(dǎo)致其旗下很多應(yīng)用發(fā)生了故障，持續(xù)了6個多小時[2]?！笆奈濉笔侵袊七M(jìn)信息通信行業(yè)高質(zhì)量發(fā)展、建設(shè)網(wǎng)絡(luò)強(qiáng)國和數(shù)字中國的關(guān)鍵時期，DNS作為核心網(wǎng)絡(luò)基礎(chǔ)設(shè)施的重要地位也正在得到業(yè)界愈發(fā)廣泛的認(rèn)可。

隨著互聯(lián)網(wǎng)發(fā)展和技術(shù)演進(jìn)，DNS技術(shù)和產(chǎn)品形態(tài)不斷豐富，機(jī)遇與挑戰(zhàn)并存。一方面，通過安全擴(kuò)展協(xié)議和新技術(shù)的引入，DNS 不斷增強(qiáng)安全能力?；ヂ?lián)網(wǎng)工程任務(wù)組（IETF）不斷發(fā)布新的DNS安全擴(kuò)展協(xié)議，從底層協(xié)議標(biāo)準(zhǔn)層面完善DNS 安全，如DNS Cookie、DNS 安全擴(kuò)展（DNSSEC）。加密傳輸技術(shù)開始廣泛應(yīng)用在DNS領(lǐng)域，增強(qiáng)了數(shù)據(jù)一致性和隱私保護(hù)。進(jìn)入現(xiàn)代的互聯(lián)網(wǎng)時代，新型的移動互聯(lián)網(wǎng)服務(wù)模式為DNS 提供了新的服務(wù)架構(gòu)，大型云計算平臺為DNS 服務(wù)提供了全鏈路自研的更可控的服務(wù)、更高的彈性、更高的可用能力，以及更及時的軟件和服務(wù)漏洞更新。新技術(shù)、新模式提高了DNS 抗攻擊的安全加固能力。

另一方面，進(jìn)入云計算時代，云平臺DNS 的服務(wù)架構(gòu)和形態(tài)正在發(fā)生變化，以適應(yīng)復(fù)雜的多應(yīng)用場景的互聯(lián)互通和新業(yè)務(wù)形態(tài)的規(guī)模化增長。尤其是在多云異構(gòu)的融合場景下，DNS成為部署在公有云、私有云、本地互聯(lián)網(wǎng)數(shù)據(jù)中心（IDC）、應(yīng)用和智能終端等多場景的IP地址尋址和統(tǒng)一調(diào)度平臺服務(wù)。這對DNS 軟件質(zhì)量、安全運維和體系化服務(wù)能力提出了新的挑戰(zhàn)。

1 DNS的演進(jìn)和各階段特征

1.1 網(wǎng)絡(luò)協(xié)議和分布式IP數(shù)據(jù)庫

傳輸控制協(xié)議（TCP）/IP被發(fā)明并普及后，互聯(lián)網(wǎng)規(guī)模迅速擴(kuò)展?；贖ost.txt 集中式的名字解析已無法滿足日益擴(kuò)大的網(wǎng)絡(luò)規(guī)模和主機(jī)名字解析的需要。20世紀(jì)80年代初，為了解決名字解析服務(wù)的擴(kuò)展性問題，DNS的基本概念和實現(xiàn)框架（RFC882/883）被提出。DNS 引入了樹狀的域名空間，按照分層的域名結(jié)構(gòu)劃分管理域，數(shù)據(jù)和管理權(quán)限的下放實現(xiàn)了分級的分布式結(jié)構(gòu)。該時期，DNS 支撐了TCP/IP初期的互聯(lián)網(wǎng)商業(yè)化。

在該階段，作為網(wǎng)絡(luò)基礎(chǔ)組件和協(xié)議，DNS提供了分布式“查詢-響應(yīng)”的IP查找。域名擁有者或網(wǎng)絡(luò)管理員在自己的網(wǎng)絡(luò)中獨立部署和運行DNS 解析服務(wù)，并依賴開源的DNS軟件，如BIND（軟件名）。該階段，DNS安全能力依賴于DNS 協(xié)議的安全和開源DNS 軟件的質(zhì)量，任何DNS 協(xié)議漏洞或開源DNS 軟件的漏洞都會影響DNS 服務(wù)。所以該時期大部分DNS 安全的討論集中在DNS 協(xié)議標(biāo)準(zhǔn)層面，例如DNS安全擴(kuò)展（DNSSEC）。但DNSSEC安全擴(kuò)展協(xié)議未能快速進(jìn)行全球部署，一些例如DNS 劫持之類的安全風(fēng)險到今天仍然普遍存在[5]。

1.2 平臺型IP尋址和流量調(diào)度服務(wù)（SaaS/PaaS）

隨著移動互聯(lián)網(wǎng)、在線視頻服務(wù)的興起，金融、民生、政務(wù)等重要行業(yè)加速了數(shù)字化進(jìn)程，通用DNS IP 解析功能已無法滿足不同應(yīng)用的性能、功能和安全需求。DNS 服務(wù)對象和服務(wù)部署模式發(fā)生了改變：用戶從PC轉(zhuǎn)移到智能手機(jī)、智能終端物聯(lián)網(wǎng)（IoT）；應(yīng)用服務(wù)開始共享超大型第三方公共域名解析平臺，并出現(xiàn)了超過百萬級別的DNS 權(quán)威解析托管服務(wù)，如Amazon Route 53、Alibaba Cloud DNS； 公 共 遞 歸DNS 的出現(xiàn)也讓用戶流量集中在少數(shù)DNS 遞歸服務(wù)平臺，如Google 的8.8.8.8 和Cloudflare 的1.1.1.1。

從業(yè)務(wù)功能上看，DNS 不僅是一個簡單查詢靜態(tài)的域名IP 地址庫，更是一個基于用戶位置、資源狀態(tài)、容災(zāi)等需求的動態(tài)智能的流量調(diào)度系統(tǒng)。從業(yè)務(wù)形態(tài)上看，DNS 不再只是網(wǎng)絡(luò)協(xié)議和基礎(chǔ)組件，而是面向業(yè)務(wù)和應(yīng)用，對外提供軟件即服務(wù)（SaaS）或應(yīng)用程序編程接口（API）的平臺即服務(wù)（PaaS），具有更強(qiáng)的智能化、安全性和可擴(kuò)展性。大型企業(yè)和云平臺將更多的網(wǎng)絡(luò)、研發(fā)運維資源投入到DNS服務(wù)，增強(qiáng)了服務(wù)的高可用和安全性。從全球范圍來看DNS 的故障變少了，但少數(shù)的故障的影響卻更大了。平臺型DNS 的穩(wěn)定和高可用仍然是挑戰(zhàn)。

1.3 融合云DNS：面向IT數(shù)字資產(chǎn)的DNS融合管理架構(gòu)

針對信息技術(shù)（IT）數(shù)字資產(chǎn)，出于服務(wù)高可用、風(fēng)險控制和數(shù)據(jù)治理的考慮，越來越多的企業(yè)采用融合云部署的方式，即將企業(yè)的數(shù)字化業(yè)務(wù)資產(chǎn)同時部署在公有云、私有云、本地IDC、應(yīng)用和智能終端等多場景（如圖1所示）。在融合云場景下，IT數(shù)字資產(chǎn)高效管理和運維成為一個痛點。融合云DNS 也應(yīng)運而生，開始承擔(dān)面向融合云的IT 數(shù)字資產(chǎn)融合管理的角色。用戶可以跨平臺地統(tǒng)一管理、配置、維護(hù)DNS，達(dá)到統(tǒng)管、統(tǒng)維、統(tǒng)防的目標(biāo)。

▲圖1 覆蓋全鏈路、融合云環(huán)境的DNS業(yè)務(wù)場景

在該階段，平臺型DNS 企業(yè)已經(jīng)具備全鏈路解析資源和信息，包括APP/智能終端解析器、遞歸解析、云上/云下權(quán)威解析、網(wǎng)絡(luò)質(zhì)量探測，提供DNS 全鏈路安全可控的服務(wù)，同時，平臺型DNS 企業(yè)還采用IT 視角用軟件定義DNS服務(wù)，提供端-遞歸-權(quán)威融合的云端一體技術(shù)架構(gòu)，擺脫了DNS協(xié)議固有安全限制。

2 融合云DNS安全體系研究

結(jié)合該領(lǐng)域的相關(guān)工作和阿里云在融合云DNS 方面的實踐，我們提出了一個融合云DNS安全體系框架，如圖2所示。該框架具體包括全鏈路的融合云DNS業(yè)務(wù)場景層、DNS業(yè)務(wù)服務(wù)接口層，以及最重要的安全能力層。融合云DNS的安全能力應(yīng)該充分考慮南北向、東西向的業(yè)務(wù)和管控接口，覆蓋多個融合云DNS業(yè)務(wù)場景。

▲圖2 融合云DNS安全體系框架

2.1 DNS數(shù)據(jù)保密性

近年來，人們也提高了對DNS 的關(guān)注度。如RFC9076所描述，DNS甚至被認(rèn)為是互聯(lián)網(wǎng)隱私泄露最嚴(yán)重的領(lǐng)域。傳統(tǒng)DNS協(xié)議沒有專門的安全機(jī)制來保障隱私安全。DNS查詢響應(yīng)數(shù)據(jù)揭示了特定用戶和設(shè)備訪問的網(wǎng)絡(luò)行為，包括所訪問域名和和位置信息。參考文獻(xiàn)[11]指出，IoT設(shè)備會查詢少數(shù)固定的域名，而DNS 查詢數(shù)據(jù)包信息的泄露會暴露智能的廠家、信號以及潛在的設(shè)備漏洞。

針對DNS 隱私的安全防護(hù)，目前有兩種基本思路：一種是盡量減少對外發(fā)送的信息，如RFC7816 中提到的QNAME Minimization技術(shù)，該技術(shù)可以通過遞歸服務(wù)器修改查詢的名字，以達(dá)到減少信息泄露的目的；另一類是將DNS數(shù)據(jù)通過安全傳輸層協(xié)議（TLS）加密信道進(jìn)行傳輸，以達(dá)到數(shù)據(jù)隱私保護(hù)的效果，例如RFC7858中提到的基于TLS的DNS（DoT）、RFC8484中提到的基于安全超文本傳送協(xié)議的DNS（DoH）。近幾年，業(yè)界主流的瀏覽器、操作系統(tǒng)平臺都已對外宣布支持DoT和DoH。

另外，在融合云場景下，除了DNS 查詢過程中的數(shù)據(jù)具有保密性以外，有研究表明DNS zone 數(shù)據(jù)也可能包含敏感信息，因此也需要考慮數(shù)據(jù)保密性[12]。例如，在遞歸、權(quán)威服務(wù)器存儲、與多個服務(wù)器通過完全區(qū)域傳輸（AXFR）/增量區(qū)域傳輸（IXFR）同步zone 數(shù)據(jù)場景下，zone 數(shù)據(jù)信息都有可能被泄露。因此，在融合云DNS 設(shè)計和使用中，需要充分考慮必要的傳輸和存儲的加密，為各個功能接口和應(yīng)用場景預(yù)留DNS數(shù)據(jù)保密能力。

針對DNS數(shù)據(jù)保密性，仍有如下的3個方面內(nèi)容需要進(jìn)一步關(guān)注：

1）除了靜態(tài)配置服務(wù)外，如何在家庭、企業(yè)不同場景下支持動態(tài)DoH/DoT 地址和加密證書服務(wù)發(fā)現(xiàn)機(jī)制。目前，IETF的ADD工作組正在討論制定新的技術(shù)標(biāo)準(zhǔn)。

2）當(dāng)DNS遞歸成為數(shù)據(jù)加密傳輸?shù)闹行幕?jié)點后，如何保證遞歸服務(wù)商不泄露數(shù)據(jù)。曾經(jīng)有Oblivious DNS 和Oblivious DoH（ODoH）方案，隔離查詢域名和用戶地址的對應(yīng)關(guān)系，但是并沒有得到技術(shù)社群的一致認(rèn)可。

3）遞歸-權(quán)威的加密傳輸機(jī)制研究。遞歸需要在面對大量權(quán)威服務(wù)器具備加密證書服務(wù)發(fā)現(xiàn)的能力。

2.2 DNS數(shù)據(jù)一致性

DNS協(xié)議固有的缺陷會使DNS易遭受緩存數(shù)據(jù)篡改，從而引導(dǎo)用戶訪問攻擊者設(shè)置的惡意網(wǎng)站和文件內(nèi)容。典型的有Kaminsky 攻擊[13]，以及2020 年出現(xiàn)的因DNS 側(cè)信道漏洞帶來的緩存“投毒”[14]。早在2000年，DNSSEC的概念被提出，旨在通過攜帶簽名保障數(shù)據(jù)傳輸?shù)囊恢滦院涂沈炞C性。然而，直到2023年1月，全球遞歸支持DNSSEC校驗的比例僅有31%。

除了緩存投毒攻擊以外，數(shù)據(jù)一致性的安全風(fēng)險也會發(fā)生在數(shù)據(jù)源頭。網(wǎng)絡(luò)黑客可以攻陷域名注冊賬號，通過域名注冊商平臺直接給DNS zone 文件注入惡意數(shù)據(jù)，這類攻擊也被稱為“注冊劫持”。例如：2019 年發(fā)生的海龜攻擊[16]，即攻擊者通過系統(tǒng)漏洞獲取用戶權(quán)限后，惡意篡改用戶的DNS注冊信息。在融合云環(huán)境中，需要引入“域名注冊鎖”或者雙因子認(rèn)證機(jī)制來保護(hù)DNS 注冊信息不被攻擊者單方面篡改。

DNS數(shù)據(jù)一致性的挑戰(zhàn)在于：DNSSEC由于其復(fù)雜性難以大規(guī)模部署，也沒有新的簽名保障機(jī)制。另外，由于大規(guī)模量子計算的發(fā)展，現(xiàn)在廣泛使用的加密算法如RSA（算法名）和橢圓曲線加密（ECC）會更容易破解。因此，我們需要考慮量子安全算法的研究，以進(jìn)行快速替換。更大的密鑰和簽名可能會給現(xiàn)有的DNSSEC 和DNS 數(shù)據(jù)的傳輸帶來挑戰(zhàn)。

2.3 DNS服務(wù)高可用

DNS是互聯(lián)網(wǎng)基礎(chǔ)服務(wù)，在互聯(lián)網(wǎng)業(yè)務(wù)的高可用和穩(wěn)定性方面起到至關(guān)重要的作用?；ヂ?lián)網(wǎng)中心化的趨勢也體現(xiàn)在DNS領(lǐng)域中，因此越來越多的網(wǎng)絡(luò)應(yīng)用與服務(wù)共享超大型第三方公共域名解析平臺。研究表明，在全球排名前10 萬的流行域名之中，有89%的域名使用了公共域名解析服務(wù)[3-4]。為了高效管理，基于云平臺的DNS 域名托管服務(wù)往往為其托管的大量域名配置共用的解析服務(wù)和統(tǒng)一的安全策略。一旦域名托管服務(wù)遭遇大型分布式拒絕服務(wù)（DDoS）攻擊，則會導(dǎo)致服務(wù)不可用[17]。還有一些研究表明，域名托管服務(wù)所管理的域名存在被攻擊者接管的風(fēng)險[9-10]。因此，平臺型DNS需要具備應(yīng)對各種故障的彈性能力，以提供極致的高可用服務(wù)，也就是說能夠在任意時間、任何地方都能提供間斷的服務(wù)。

DNS的高可用能力可以從表1中的7個方面來加強(qiáng)。

▼表1 提升DNS高可用能力的7種方案

2.4 DNS軟件質(zhì)量

《“十四五”軟件和信息技術(shù)服務(wù)業(yè)發(fā)展規(guī)劃》要求強(qiáng)化基礎(chǔ)組件供給，推進(jìn)域名、標(biāo)識等基礎(chǔ)資源管理與服務(wù)的軟件研發(fā)。然而，中國仍有不少企業(yè)和網(wǎng)絡(luò)運維人員使用和集成其他國家開源軟件，為國家數(shù)字經(jīng)濟(jì)基礎(chǔ)設(shè)施安全帶來潛在軟件供應(yīng)鏈安全風(fēng)險。

中國互聯(lián)網(wǎng)信息中心2021 年發(fā)布的《中國域名服務(wù)安全狀況與態(tài)勢分析報告》[8]指出，中國二級以下權(quán)威域名服務(wù)器主要使用互聯(lián)網(wǎng)系統(tǒng)聯(lián)盟（ISC）維護(hù)的開源軟件BIND，占比達(dá)到59%。其中，超過40%的BIND開源軟件仍舊開啟版本應(yīng)答功能，為漏洞掃描和針對性攻擊留下安全隱患。據(jù)互聯(lián)網(wǎng)安全大會（ISC）官網(wǎng)統(tǒng)計，2016—2021 年的5 年，BIND 共有69 個軟件bug 被曝出，僅2022 年就新增11個軟件漏洞，這些漏洞主要為DDoS安全威脅漏洞[18]。

大型的商業(yè)化DNS 公司和機(jī)構(gòu)出于高性能和高安全性的考慮，都會專注于自主研發(fā)DNS 軟件和安全測試技術(shù)。這樣可以在保障DNS 軟件質(zhì)量的同時，在遇到問題時能夠快速定位軟件故障并進(jìn)行服務(wù)恢復(fù)。為了緩解一款軟件帶來的質(zhì)量和安全風(fēng)險，企業(yè)通常也會考慮采用至少兩個不同開發(fā)者的DNS軟件來增加系統(tǒng)的多樣性[20]，避免單一軟件可能帶來的漏洞，但相應(yīng)的代價是需要增加運營和維護(hù)成本?？倸wDNS軟件的質(zhì)量對服務(wù)安全至關(guān)重要。

DNS軟件安全風(fēng)險主要體現(xiàn)在兩個方面：一方面，從軟件開發(fā)的角度看，很難100%保證軟件沒有漏洞。對此，業(yè)界有通用的軟件自動化測試方法，例如Fuzz測試和symbolic測試，但是它們很難對復(fù)雜的語意和交互式行為的DNS 軟件進(jìn)行可擴(kuò)展的測試。另一方面，從網(wǎng)絡(luò)通信軟件方面看，DNS軟件的實現(xiàn)需要嚴(yán)格遵守協(xié)議，對于協(xié)議定義不明確的領(lǐng)域DNS 軟件，要考慮安全異常的情況。目前，業(yè)界有不少針對域名協(xié)議的安全漏洞分析，如緩存投毒、DNSSEC等。然而，對于域名協(xié)議的載體、域名解析軟件實現(xiàn)代碼的安全性和正確性研究工作不多，在最近一兩年才逐漸引起研究者的重視[19]。

2.5 DNS安全運維

超大規(guī)模的分布式、平臺型的DNS 安全運維是DNS 服務(wù)中至關(guān)重要的一環(huán)，直接影響用戶體驗和服務(wù)質(zhì)量。當(dāng)云平臺DNS進(jìn)入融合云DNS階段時，安全運維場景更加復(fù)雜。有研究認(rèn)為，大量的DNS 故障來自于DNS 配置變更[22]。例如：2019年，微軟因NS配置變更錯誤導(dǎo)致了其在線服務(wù)全球故障，微軟Azure 云宕機(jī)3 個小時[21]；2021 年Facebook 自動化運維漏洞導(dǎo)致了路由故障和DNS 服務(wù)不可用，引起了其旗下的各種應(yīng)用故障，持續(xù)6個多小時[2]。

學(xué)術(shù)和產(chǎn)業(yè)界都很重視DNS 安全運維的研究和建設(shè)。針對潛在的運維漏洞和DNS 變更故障，微軟開發(fā)了GRooT工具[22]，通過分析DNS 配置文件來排查潛在的DNS 服務(wù)風(fēng)險[22]；作為中國最大的DNS 云平臺，阿里云也從管理保障、設(shè)計與開發(fā)、測試與評估、發(fā)布與變更、監(jiān)控與應(yīng)急、基礎(chǔ)設(shè)施保障等各方面保障DNS服務(wù)安全穩(wěn)定[23]。

2.6 DNS測量

域名解析服務(wù)異常有可能隱藏在正常業(yè)務(wù)中，雖沒有造成大規(guī)模故障但卻存在安全隱患，因此我們需要對DNS 服務(wù)進(jìn)行安全測量來揭示中國乃至全球DNS 運行的規(guī)律和安全風(fēng)險。近期一項研究工作表明，互聯(lián)網(wǎng)中13.5%的域名解析查詢均會以失敗告終[6]。另外，引發(fā)域名解析服務(wù)異常的原因不盡相同，其中包括域名權(quán)威服務(wù)器配置錯誤、網(wǎng)絡(luò)通信鏈路存在劫持、網(wǎng)絡(luò)中間件緩存不一致性等等[5,7]，這些都需要通過DNS安全測量來定位根因。

DNS 安全測量通常有主動發(fā)探測包的主動測量和收集DNS 業(yè)務(wù)數(shù)據(jù)的被動測量兩種方案。但由于探測節(jié)點的廣度、測量手段的局限，現(xiàn)有測量方法還很難還原完整的DNS解析鏈路全局信息。尤其是對復(fù)雜的云平臺DNS，以及融合云DNS 而言，當(dāng)域名解析發(fā)生故障時，通常難以準(zhǔn)確獲知用戶終端網(wǎng)絡(luò)、IDC側(cè)網(wǎng)絡(luò)的環(huán)境信息，也難以有效排查并追溯故障原因?？傊?，DNS服務(wù)測量、故障定位一直是業(yè)界的難點。

3 阿里云DNS的安全實踐

面對融合云DNS 的發(fā)展趨勢和安全挑戰(zhàn)，阿里云在業(yè)界首次提出了全鏈路安全可控的融合云DNS 技術(shù)。該技術(shù)不再局限于單一設(shè)備、單一服務(wù)運行場景，而是從DNS 業(yè)務(wù)的全局視角出發(fā)，實現(xiàn)融合云環(huán)境下的統(tǒng)一管理、統(tǒng)一運維、統(tǒng)一防護(hù)。技術(shù)服務(wù)覆蓋了公網(wǎng)域名解析、內(nèi)網(wǎng)域名解析、全球流量調(diào)度、移動解析、專有云和客戶IDC的域名解析場景。

為了提供高可用的永遠(yuǎn)在線解析服務(wù)，同時保障云生用戶的域名解析安全穩(wěn)定，阿里云DNS 將安全實踐主要在下面集中于以下幾個方面：

1）基礎(chǔ)資源和能力：基于阿里云全球覆蓋的基礎(chǔ)設(shè)施，阿里云在全球28個地理區(qū)域內(nèi)運營著86個可用區(qū)，部署了243個DNS集群，日解析量超過2萬億次。

2）安全攻擊防護(hù)：基于云計算的彈性和安全運維體保障了DNS 服務(wù)的彈性和安全抗攻擊能力，具備全球10T+帶寬儲備和多個大型流量清洗中心，提供大規(guī)模DDoS流量攻擊防護(hù)。

3）自研軟件：具備全鏈路的融合云DNS 軟件自研能力，能夠自研高性能解析服務(wù)器集群，且單集群每秒過億防護(hù)能力。

4）安全研究：對DNS服務(wù)異常測量、軟件安全漏洞測試、正確性驗證進(jìn)行深入研究。

5）數(shù)據(jù)一致性：提供DNSSEC 在線簽名服務(wù)，避免DNS劫持/緩存投毒，保障網(wǎng)站訪問安全。

6）數(shù)據(jù)隱私：提供了DoT、DoH和HTTP(s) DNS件開發(fā)工具包（SDK）服務(wù)，保障DNS傳輸?shù)臄?shù)據(jù)隱私性。

7）數(shù)據(jù)本地化：引入了DNS 根鏡像、.CN./.COM/.NET鏡像，以及本地備份重要的熱點DNS 數(shù)據(jù)，預(yù)防因網(wǎng)絡(luò)中斷導(dǎo)致的DNS服務(wù)不可達(dá)故障。

8）云端一體安全運維體系：阿里云全系列的DNS產(chǎn)品和技術(shù)能力覆蓋了用戶端（通過軟件和SDK部署）、企業(yè)/公共遞歸解析、權(quán)威解析、DNS服務(wù)檢測和調(diào)度、DDoS防護(hù)，從而能夠從全鏈路視角來服務(wù)客戶，減少中間鏈路的不確定性，保障DNS 業(yè)務(wù)的安全可控、可預(yù)期，具體信息如圖3所示。

▲圖3 全鏈路、云端一體的融合云DNS安全運維體系

4 結(jié)束語

DNS 是全球互聯(lián)網(wǎng)也是中國數(shù)字經(jīng)濟(jì)的重要基礎(chǔ)設(shè)施，其安全穩(wěn)定至關(guān)重要。DNS 從一個簡單的網(wǎng)絡(luò)IP 數(shù)據(jù)查找的基礎(chǔ)組件，發(fā)展到智能算力和流量調(diào)度的平臺型服務(wù)（SaaS/PaaS）。步入融合云時代，DNS在網(wǎng)絡(luò)協(xié)議和平臺型服務(wù)的基礎(chǔ)上，又增加了新的功能場景，成為更高效的現(xiàn)代企業(yè)IT 數(shù)字資產(chǎn)和流量調(diào)度管理平臺。DNS 的功能和應(yīng)用場景更加豐富，承擔(dān)的流量也進(jìn)一步集中化和平臺化，這其中機(jī)遇和挑戰(zhàn)并存。

基于阿里云的DNS 安全研究和運維經(jīng)驗，本文提出了融合云DNS 安全體系框架，也介紹了我們在安全和穩(wěn)定性方面所做工作。我們雖然在該領(lǐng)域收獲了一些成果，但對DNS的安全和穩(wěn)定性心存敬畏，因為一個小的故障就可能引發(fā)大量用戶、大面積的業(yè)務(wù)受損。

DNS是國家關(guān)鍵信息基礎(chǔ)設(shè)施的組成部分。當(dāng)前，中國仍存在依賴外部關(guān)鍵域名解析資源（根和頂級服務(wù)器）、開源軟件核心組件，DNS軟件國產(chǎn)化水平不足，安全運維總體能力不高，對DNS 安全體系缺少頂層設(shè)計等一系列問題。DNS 是一個生態(tài)，需要全產(chǎn)業(yè)鏈參與其中，共同分享、協(xié)作，并統(tǒng)籌行動，應(yīng)對各種安全風(fēng)險。