美國如果把根域名伺服器封了，中國會從網路上消失？

美國如果把根域名伺服器封了，中國會從網路上消失？
作者：衛劍釩
來源：公眾號微月人話

自從美國宣佈“清潔網路”行動後，很多懂點網路的人，第一反應是，美國人會下手根域名伺服器嗎？

這種憂慮可不是一年兩年了。

2014年6月24日的《人民日報》上引用專家發言：“目前美國掌握著全球網際網路13臺域名根伺服器中的10臺。理論上，只要在根伺服器上遮蔽該國家域名，就能讓這個國家的國家頂級域名網站在網路上瞬間“消失”。在這個意義上，美國具有全球獨一無二的制網權，有能力威懾他國的網路邊疆和網路主權。譬如，伊拉克戰爭期間，在美國政府授意下，伊拉克頂級域名“.iq”的申請和解析工作被終止，所有網址以“.iq”為字尾的網站從網際網路蒸發。”_（1）_

《資訊保安與通訊保密》雜誌2014年第10期的一篇文章寫道：“2004年，由於與利比亞在頂級域名管理權問題上發生爭執，美國終止了利比亞的頂級域名.LY的解析服務，導致利比亞從網路中消失3天。”_（2）_

對此，我們需要害怕嗎？我們需要什麼樣的反制措施？

不是專家，還真回答不了這個問題。

因為這需要了解DNS的工作原理，瞭解根域名的管理機制。

這裡先給出簡要回答：不排除這種可能性，但並不是沒有辦法。

一句話原因：雖然根不在我們手裡，但我們有映象。

DNS傻瓜書

先了解點基本概念，懂DNS的可以直接跳過本節。

1、DNS是什麼？

DNS就是將域名轉換為IP的，因為我們人類的記憶力太差，根本記不住IP，而電腦通訊又必須用IP，所以人類發明了域名，讓我們可以記住baidu.com、taobao.com這種還算能記得住的域名。然後通過DNS，將這些域名轉換為電腦需要的IP。

2、DNS是怎麼工作的？

每個電腦裡面都設定了本地DNS伺服器（簡稱LDNS），需要的時候，就向LDNS發出請求，LDNS在網上問權威域名伺服器（簡稱權威DNS），有時候問一家是不夠的，要問一大圈下來，最後才能得到答案。

3、權威DNS是幹什麼的？

問我一個域名，我告訴你IP，如果我不知道，我告訴你誰可能知道，你再去問它。

4、什麼是根域名伺服器（簡稱根DNS）？

當LDNS啥都不知道的時候（也即沒有任何快取），就去問根DNS，根能告訴LDNS下一步該問誰。

5、全世界有多少根DNS？

13個，其中10個在美國，英國和瑞典各1個，日本1個。

6、根DNS的名字和IP都是什麼？

在這個網址：

https://www.internic.net/doma...

開啟可以看到，裡面有13個根的名字和IP，其名字從A.root-servers.net到M.root-servers.net。

A開頭那個簡稱A根，是主根，其他12個（B、C、D、E、F、G、H、I、J、K、L、M）是輔根。

為什麼根DNS只有13臺？

本節看不懂沒關係（一般人都看不懂），你只需要知道，由於歷史原因和技術原因，對於IPv4而言，根DNS只能有13個IP。

正宗答案是：DNS主要使用UDP資料包傳送報文，不含前面的各種頭部，DNS報文要求被控制在512位元組之內（ RFC1035 ），主要考慮是這個大小几乎可以在網際網路上暢通無阻，不會因為路徑中某個MTU太小（ MTU 通常總會 >= 576，見 RFC791 ）而導致IP分片，從而預防了各種不可預期的後果_（3）_。

而每一個根DNS在DNS報文中都要佔用一定的位元組數，比如根的名稱、TTL、IP地址等。這樣，13個根域名伺服器基本上就把空間佔差不多了，剩餘的位元組還要用於包裝DNS報頭以及其它協議引數，所以根域名伺服器不易太多，13個算是比較合適的數目。具體可以看一下“Why 13 DNS root servers?”這篇文章。_（4 ）_

真的只有13臺伺服器嗎？

和很多人想象的完全不一樣，這13個根域名伺服器，並不是只有13臺物理的伺服器。

這13個根，只是一個邏輯上的概念，每個根DNS，背後都有多臺真正的物理伺服器在工作！

截至2020年8月12日，全球一共有1097個根伺服器。每一個根都有若干個映象，分佈在全球不同的地方。

這個數目在不斷上漲，去年10月1日新中國成立70週年閱兵的時候，我看了一下，是1015個伺服器。
這13個根由12個獨立的機構管理，比如A根和J根都是由Verisign公司管理，截至2020年8月12日，A根在全球各地有53個站點，J根有185個站點。L根由ICANN管理，全球有167個站點，其中北京2個，上海1個。

在root-servers網站上_（5）_，可以查到所有這些根伺服器的分佈，從網站展示的根映象伺服器地圖上看（2020年8月12日），北京有 5 個根映象伺服器，上海 1 個，杭州 2 個，武漢1個、鄭州1個、西寧1個、貴陽1個、廣州1個、香港 9 個，臺北 6 個。

包含港澳臺部分，我國一共有28個根映象。

我國境內發出的對根DNS的請求，其實都由映象完成了。這一點後面會解釋。

現在，為了增長知識，你該硬著頭皮看一些DNS細節了。

DNS到底是怎麼工作的？

對於IT從業者，希望你能理解並牢牢記住本節的內容。

因為你遲早會遇到有關DNS的困惑。

先介紹一下域名的級別：

.代表根域名， .com這種是頂級域名，也叫一級域名，baidu.com這種叫二級域名， www.baidu.com這種叫三級域名，依次類推。

注：也有其他叫法的，反正你知道這個意思就可以了。

再介紹一下最常見的兩種域名伺服器：

權威DNS：負責對請求作出權威的回答。權威DNS中儲存著記錄，最常見的3種：A記錄（記錄某域名和其IP的對應），NS記錄（記錄某域名和負責解析該域的權威DNS），CNAME記錄（負責記錄某域名及其別名）。權威能直接回答的，就回A記錄；需要其他權威DNS回答的，就回NS記錄，然後LDNS再去找其他權威DNS問；如果該記錄是別名型別的，就回CNAME，LDNS就會再去解析別名。

遞迴DNS：通常就是LDNS，它接受終端的域名查詢請求，負責在網上問一圈後，將答案返回終端。

現在舉一個具體的例子：比如終端請求www.baidu.com這個域名的IP。

在沒有快取時，LDNS會從根DNS問起：

1、LDNS問根DNS說：“www.baidu.com的IP是多少啊？”。

2、根DNS說：“我哪有時間管你這麼細的問題，你去問com頂級域的DNS吧，我只管到頂級域，喏，這些是com頂級域DNS的名字和IP，你去問它們吧”。（以NS記錄回應）

3、LDNS又忙問com的權威DNS，com權威DNS說：“你問的這是三級域名，我不管這麼多，你去問baidu.com的權威DNS吧，它的名字是ns.baidu.com，他的IP是XXX（這裡可能給出多個權威DNS）”。

4、LDNS繼續問baidu.com的權威DNS，這次痛快，因為www.baidu.com正是它管的，它可能直接給出A記錄，也可能給出CNAME記錄，如果是前者，就直接得到IP，如果是後者，就需要對別名再做查詢。