全國功能變數名稱解析首遭大規模故障 神秘IP位址引發駭客疑雲

仲介交易 SEO診斷 淘寶客 雲主機 技術大廳

新浪科技 張楠

1月21日下午3點，十幾封報警郵件，讓寇博驚出一身冷汗。

寇博是一家國內流量排名前十的網站運維負責人，他和他的團24小時隊維護著這家日流覽量過億網站。 十幾封報警郵件，意味著全國十幾省的使用者都出現無法訪問該網站的狀況。

「核心機房又出問題了?」 寇博小聲默念著，趕忙從一個會議中退席，小跑著上樓，回到運維部的工作大廳。 他桌面上的座機正刺耳著響著。 「我是客服部的XX，有浙江的使用者反映咱們首頁上不去了.。.」「 知道了。 」

寇博立即掛斷了電話，朝著正在值班的同事大喊「怎麼回事了?」「 北京上海機房和CDN(網路加速)回饋都正常，PING了下功能變數名稱，IP位址的指向不對，可能是DNS的問題。 」值班同事回答他。

「別查了，不是咱們的事，國內所有.com功能變數名稱的DNS都有問題。 」正在刷微博的另一個同事告訴寇博，「你看DNSPod發微博了，說國內所有通用頂層網域的根出現異常，正聯繫相關機構協調處理。 」

DNSPod是國內第一大DNS解析服務提供者和功能變數名稱託管商，管理著超過270萬功能變數名稱。 寇博推了推眼鏡，湊過去仔細盯著微博，一邊說「別大意，再給機房打電話查一下。 」

幾乎與此同時，國內最大的資料中心之一的北京機房負責人劉碩也正高度緊張。 當他接通新浪科技的電話時，他背後的座機鈴聲響成一片。 「是的，我們已經監測到問題了，很多網站也向我們回饋了，我們馬上開會研究應對。 」他匆匆的掛斷了電話。

「使用者在微博上把我們罵死了。 」寇博的同事告訴他。 他笑著對新浪科技說，「我們無能為力，是全網出現的系統性問題，只能告訴使用者直接用IP位址訪問我們。 」

這次故障是怎麼回事?

「所有連接在互聯網上的設備都必須有一個IP位址，就像每個房子都有位址一樣，這樣才能讓別人找到。 」寇博開始向新浪科技解釋起來。 「這個IP位址是一段數位，例如120.84.21.23，但是使用者上網要記這段數位，太麻煩了，所以有了功能變數名稱。 」

功能變數名稱就是IP位址的另一種體現方法，而DNS就是將功能變數名稱翻譯成IP位址的翻譯器。 比如，使用者在瀏覽器中輸入facebook.com，瀏覽器就會向使用者最近的DNS伺服器詢問，「facebook.com對應的IP位址是什麼?」

這個最近的DNS伺服器一般是當地電信運營商的伺服器。 如果這個伺服器不知道，他就會向上一級請求，一般是運營商的全國性DNS伺服器。 如果這個全國性DNS還不知道會向全球DNS伺服器查詢。

這一級一級的層級中，最高一級是全球的13台根伺服器，名字分別為「A」至「M」，其中10台設置在美國，另外各有一台設置於英國、瑞典和日本。

為了防止上述伺服器出現故障造成全球性訪問異常，目前世界上很多國家都設有鏡像。 我們國家在全網的出口也設有頂級的功能變數名稱伺服器。 「這次網路出現異常是這個伺服器出現瞭解析錯誤。 」寇博解釋說。

為什麼有的人正常，有的人異常?

這是因為為了加快使用者存取速度，整個系統設有多級緩存，包括瀏覽器緩存、系統緩存、路由器緩存、DNS伺服器緩存等等。

當使用者訪問一個網站時，其瀏覽器會自動記錄功能變數名稱對應的IP一段時間，這樣使用者在第二次進入該網站時，瀏覽器就不必向上一層級反復查詢，直接就可以告知使用者結果。 同樣的，使用者的電腦、路由器和DNS伺服器都會設置一定的緩存，當然緩存是有時間限制的，到期就要向上級伺服器查詢最新的記錄。

當頂級根功能變數名稱伺服器出現故障時，使用者的訪問不會馬上中斷，因為各級緩存還在。 當緩存時間到後，他們會向上一級重新查詢，這時根伺服器的錯誤回饋才會生效，導致使用者訪問異常。 然而這個緩存時間，因設置不同，差異很大。 有的緩存時間只有30秒，有的緩存時間長達12小時。

截至當日下午4點，全國根伺服器的解析陸續恢復正常。 同樣的道理，出現異常的使用者也不會馬上恢復正常，因為錯誤的記錄仍然在緩存中，最長可能需要等待24個小時，緩存到期後，正確的記錄才會生效。

而對於一個大型網站來說，其內容一般不是全都放置在同一功能變數名稱下。 比如圖片、資料庫一般都採取不同的功能變數名稱，當有的功能變數名稱緩存正確，有的功能變數名稱緩存錯誤時，就會出現頁面載入出來，而圖片出不來，或者圖片出來，文字資料錯亂的情況。

神秘IP位址引發駭客疑雲

隨著故障陸續恢復，資料中心的劉碩也松了一口氣。 他向新浪科技介紹說，這次事故的原因是根功能變數名稱伺服器被污染，功能變數名稱解析請求都被指向「65.49.2.178」這個IP位址。

不過，據劉碩對多個功能變數名稱的測試發現，Facebook、Twitter等國外功能變數名稱解析正常，只是國內功能變數名稱遭到污染。 即便如此，受到影響的範圍也是空前的，包括百度、新浪、騰訊在內的國內絕大多數網站出現訪問異常，根功能變數名稱伺服器故障持續將近1小時。

據粗略估算，受到影響的國內使用者超過2億，平均受影響的時間約在3小時左右。 截至21日晚間1哦點，全國仍有十余個地區受DNS估值影響，包括貴州電信、河南電信、香港新世界、江蘇電信、北京電信通等。

國內漏洞報告平臺「烏雲」稱，65.49.2.178這個IP位於國外，有證據表明該IP所處於的網路有過發送垃圾郵件及其他有政治目的的駭客活動，不排除此次攻擊為駭客所為。

金山的一位安全專家稱，經查詢65.49.2.178的資訊，發現該IP位於美國北卡羅萊納州卡裡鎮Dynamic Internet Technology公司。 「大量中國知名IT公司的功能變數名稱被解析到美國某公司，從目前看該事件極可能是駭客攻擊行為。 」該專家說。

今年8月25日淩晨，中國.cn功能變數名稱解析出現大規模解析故障。 中國互聯網絡資訊中心後來透露，當日零時許，國家功能變數名稱解析節點受到拒絕服務攻擊，經處置，至2時許伺服器恢復正常，這是有史以來.cn功能變數名稱遭受的最大規模拒絕服務攻擊。

不過，劉碩和另一位網路安全專家都認為，這次DNS污染事件影響之廣、範圍之大在國內尚屬首例，遠遠超出一般駭客的能力範圍。 「很可能與骨幹絡的設置調整有關。 」上述網路安全專家說。