域名解析缓存机制_分布式DNS在金融多活数据中心的实践

图3 近源访问

2. 缓存机制

域名解析系统构建时，缓存机制的设计深刻关联着该系统的整体运作效率。一旦递归服务器启动缓存功能，在缓存有效期内，它不会再将查询请求转交给权威服务器处理，而是直接将已缓存的数据反馈给使用者，这样做既显著减轻了权威服务器的负担，也加快了域名解析的进程。

图4 缓存机制示例

根据对域名解析系统整体表现以及众多应用场景功能要求的全面评估，设定通用的TTL时长来降低应用间的交互开销，以健康检测未通过超时半分钟，TTL周期为一分钟作为标准设定，这样基本上能满足大多数应用场景的功能要求。

3. 域名解析时延优化

域名查询环节是启动应用访问流程的初始步骤，该环节产生的延迟，或许会波及整个应用系统的使用感受。造成干扰的原因，在于应用连接的不同性质：对于需要持续连接的应用，一旦建立连接就无需再次查询域名，因此延迟影响不大；而对于频繁使用短暂连接的应用，客户端向本地递归服务器发起请求，当缓存数据失效时，会出现短暂的延迟增大现象。

我们针对此前提出的问题所设计的应对措施是，在递归服务器上为时延要求高的业务开启缓存更新机制，当缓存内容过期时，递归服务器会自行向时延敏感型应用系统域名发起查询指令，借此更新缓存，以此减少响应时间，增强使用体验。

4. 容灾策略

容灾策略主要从架构、负载、产品异构、性能四个方面实现。

架构容灾方面，根源服务器和权威服务器都采用了分布式安装方式，单个节点出现问题时不会对整体系统造成影响。

服务器集群部署了负载均衡机制，该机制拥有状态监测功能，能够自动将出现故障的递归服务器排除在外，以此确保系统持续稳定运行。

系统整体性能能够支撑未来五年业务增长，借助递归服务器缓存功能有效缓解权威服务器的负载，一旦权威服务器出现高负载等突发状况，可以立即停用智能解析服务，减少其服务器资源消耗，转而使用静态解析技术来处理域名请求。

域名安全设计：全面部署威胁防护

我方为应对DNS洪泛攻击、DNS污染及隐蔽通道等风险，配置了以下安全对策：

1. DNS flood攻击防护

设立域名查询记录与数据传输双重监督体系，即时发现短时间内的访问量激增情况。能够明确识别出请求源头和目标网址，一旦查明，可以借助暂停异常用户的访问权限或更改网址有效期等手段进行处理。

图5 监控视图

2. DNS污染防御

开启递归服务器的DNS防污染措施：查询过程中，必须采用大小写随机变化的域名文本，这样攻击者难以模仿应答数据包，从而有效防止缓存中毒行为。

3. DNS隐蔽隧道管控

内部网络和外部网络之间设立严密界限，DNS解析系统独立运作，内部系统无法查询外部网址，从根本上防止了通道风险，在公共网络入口处设置额外管理措施，以阻止信息非法流出。

4. 补充关键措施

停用DNS的TCP 53通道。此通道常用于传送大量数据，不过日常的域名查询并不需要这个协议。禁用它之后，能够直接阻止借助TCP协议进行的隐蔽通道渗透和不良域名解析，从而提升安全防护水平。

内部网络域名解析系统每天处理来自金融机构的上亿条重要查询指令，这一系统对于保障业务稳定运行至关重要。通过充分利用DNS技术，即便在系统出现异常时也能在30至60秒内完成自动切换，有效防止DNS单点问题导致业务全面瘫痪，确保交易过程平滑无感，使金融机构的服务时刻在线，从而维护金融市场的稳定运行。DNS系统作为金融领域公共设施的核心组成部分，其稳定性显著减少了因设施出现意外而造成的社会服务中断的可能性。此外，借助多种安全防护手段，能够从源头上防止信息外泄和遭受攻击的危害，为金融核心信息设施的安全维护奠定了牢固基础。