兩張圖告訴你為什么域名會(huì)被解析到65.49.2.178
2014年1月21日中國出現(xiàn)重大網(wǎng)絡(luò)事故，大量域名被解析到一個(gè)65.49.2.178 這個(gè)IP了。
中國的一家DNS服務(wù)商DNSPOD于 2014 年 1 月 21 日 16:18 說：
| 2014年1月21日下午15：10左右，DNSPod發(fā)現(xiàn)國內(nèi)所有通用頂級(jí)域的根出現(xiàn)異常，技術(shù)人員已聯(lián)系相關(guān)機(jī)構(gòu)協(xié)調(diào)處理。目前根已恢復(fù)正常，但是后續(xù)還會(huì)存在以下問題：
根雖已恢復(fù)，但還有返回錯(cuò)誤IP地址，因?yàn)楦鞯赜芯彺?，所以部分地區(qū)可能會(huì)持續(xù)12小時(shí)。 |
正常的域名解析應(yīng)該是這樣的：
域名解析四步:
第一步先是找到最近的根域名，返回 f.root-servers.net. 這樣的結(jié)果 第二步根域名返回gTLD地址，返回 a.gtld-servers.net. 這樣的結(jié)果 第三步gTLD返回name server地址和IP，返回 ns1.dreamhost.com. 這樣的結(jié)果 第四步name server返回域名的真實(shí)IP，返回 69.163.141.215 這樣的結(jié)果
而事故發(fā)生時(shí)dig +trace 卻不是上面四個(gè)步驟,如下圖
上圖來自知乎
上圖中g(shù)TLD地址和name server地址都沒有返回，看上去是通用頂級(jí)域的根出現(xiàn)問題了，所用延時(shí)極短就直接返回65.49.2.178這個(gè)假IP，這張圖顯示只用了27毫秒。
本來有四步才能得到答案，結(jié)果有人插嘴就得到答案了，省掉了兩步，這就是DNS劫持造成的。就好比你在廣州放只鴿子去北京，本來要路過長沙和鄭州，來回要4天，結(jié)果鴿子只用了一天就回來了，它沒有鄭州和北京，只去了長沙。
結(jié)論是，機(jī)房有設(shè)備干擾了DNS查詢過程，是一個(gè)DNS污染事故，是嘗試在機(jī)房的GFW審查設(shè)備做網(wǎng)絡(luò)封鎖時(shí)無意中犯下的過錯(cuò)，可能是封鎖IP時(shí)操作成封鎖所有域名了。
附： 65.49.2.178 這個(gè)IP所在的IP段是 Dynamic Internet Technology公司的Anonymous Proxy的IP : http://bgp.he.net/net/65.49.2.0/24#_dns
如果你對(duì)任播這種一個(gè)IP對(duì)應(yīng)多個(gè)服務(wù)器的技術(shù)細(xì)節(jié)不會(huì)頭大，歡迎翻墻去http://www.zhoushuguang.com/2014/01/nslookup.html 查看詳細(xì)分析。
PS：
國內(nèi)的科技媒體上說“根服務(wù)器只有13臺(tái)，亞洲唯一的一臺(tái)在日本”，這樣的說法過時(shí)了，亞洲有26臺(tái)根服務(wù)器啦,F-Root有14臺(tái)，I-Root有9臺(tái)，K-Root有3臺(tái) http://www.apnic.net/community/support/root-servers/root-server-ma
全球有386臺(tái)根服務(wù)器,被編號(hào)為A到M共13個(gè)標(biāo)號(hào)。中國北京有兩臺(tái)編號(hào)為F的根服務(wù)器鏡像，編號(hào)為I、J、L的各一，共5臺(tái)鏡像，在香港有A、F、I、J、L五臺(tái)根服務(wù)器鏡像，全部借由任播(Anycast)技術(shù)，所有編號(hào)相同的根服務(wù)器都是同一個(gè)IP，386臺(tái)根服務(wù)器總共只使用了13個(gè)IP. 詳情見 http://www.root-servers.org
[原文發(fā)表在 http://www.zhoushuguang.com/2014/01/nslookup.html
原創(chuàng)作者：佐拉 http://weibo.com/zuol]
