DNS应用系统优化解决与方案

DNS应用系统优化解决方案

2004年11月

一、DNS应用概述及面临的挑战

在TCP/IP协议的网络中，面向互联网的设备或主机采用IP地址来标识身份，但互联网IP地址和它提供的服务没有对应关系，难于记忆，如果能为每个主机设定一个便于记忆的名字，当需要访问该主机时，只要知道它的名字即可，就大大方便了用户的使用。DNS服务，或者称为域名服务、域名解析服务，主要用来提供基于域名与IP地址的相互转换功能。

随着DNS应用的发展，绝大多数用户的访问都会使用域名方式，而不是IP地址，这样，所有的数据都会首先发送到DNS服务器，由DNS完成解析，并将解析的IP地址返回到客户端，客户端再向目的IP发起连接请求，所有这些操作对用户来讲都是透明实现的。随着用户访问量增长，对DNS的访问量也不断增长，DNS系统如果出现故障，用户基于域名的请求都将失败，网络如同瘫痪一样，这就需要应用更稳定、高效的DNS服务提供平台。

在DNS服务提供平台中，如域名解析功能仅通过单台主机/服务器，或采用备份服务器通过冷备的方式避免单点故障，期望完成稳定、可扩展的DNS功能功能，将会在实际应用中面临以下问题和挑战:

1、处理能力有限且扩容能力有限

随着网络应用的普及和发展，DNS服务器上所要处理的数据量将逐渐增大，从而影响了针对用户的响应效率，造成对访问者的请求回应越来越慢等严重影响域名解析服务质量的现象。在服务器端则直接表现为可容纳的新增连接数越来越小，系统性能严重下降。

此时，将需要考虑增加DNS服务器的数量来满足不断增大的应用负载需求。当仅通过服务器集群（Cluster）的方式实现扩容时，将存在成本较高，严重影响正常短信服务的提供等问题，且扩容能力有限，无法满足不断增长的DNS应用的需要。

3、DNS服务器“多米诺”现象

使用单台DNS服务器设备来满足应用时，受各种条件的影响，不可避免的将出现单点故障等问题，而在互联网应用中，DNS服务器扮演着重要的角色，任何单点故障都将直接影响到大量业务的正常提供，造成极大的损失，考虑到服务器的冗余备份，需要DNS服务器冗余设置来处理和接管出现故障的DNS主机的工作。传统方式是通过一台或多台服务器，采用冷备份方式来实现，当主DNS服务器出现故障时，进行人工切换到备份DNS服务器上。

但这样做，除了会产生时效性的问题外，还将无法同时利用所有DNS服务器的资源，应用投资得不到充分保护。特别是，当出现超过主DNS服务器的负载情况时，所得到的将是“多

米诺效应”，即包括冷备份DNS服务器在内的DNS服务器组将依次被过高的负载压垮，直至无服务器可用。

4、针对DNS应用的攻击和大量相同域名解析极大的影响了DNS服务的安全性和效率

随着网络技术的普及和面向DNS应用的攻击的增多，越来越多的DNS服务器面临DNS 应用的安全问题，通过非标准DNS解析语句的方式或根据DNS服务软件版本而发起的攻击行为，已经成为最主要的DNS攻击方式，并严重DNS服务的正常提供。同时，大量对相同域名的解析请求将使得DNS服务器频繁重复相同的工作，极大的消耗了系统的DNS服务器的资源。

如何避免最大化的避免针对DNS应用的攻击的发生，如何通过同样的DNS系统应用平台响应更多的访问请求，提供更优质的DNS解析服务，已经成为DNS应用系统中迫切需要解决的问题。

5、系统维护升级等问题将给相关人员造成极大的压力

DNS系统的稳定运行，离不开应用系统的日常维护，而在线系统的维护操作，将会给正常应用中的DNS服务带来了安全隐患。在主机操作系统和DNS应用程序的调整和升级过程中，将会由于需要重新启动正在提供服务的应用程序，甚至重新启动操作系统而使此类工作很难进行下去。有限的维护、升级时间，将对应用造成很大风险的同时，给各个方面的相关人员造成很大的压力。

二、Array DNS服务优化解决方案

Array DNS服务平台优化解决方案可以根据用户的实际需求，采用多种方式进行网络拓扑架构的连接。为避免设备的单点故障，采用工作在集群（Clustering）的模式下两台TM 设备，采用Active/Active方式，对多个不同的DNS虚拟服务实现热备，在避免单点或线路故障时的影响，保证DNS服务服务提供的连续性。

通过应用TM设备实现多台DNS服务器负载分担。当用户发起的域名解析请求发送到TM 设备上时，TM设备将根据预先配置，选择后台的DNS服务器来响应用户的请求，不同用户的服务请求会被发送到不同的DNS服务器上。如果对用户提供了多个DNS主机地址，可以对外提供多个不同的虚拟服务（如图中的Virtual1和Virtual2），既保证了用户的透明使用，又实现了服务器的负载均衡。对于分配到real server上的方式可以从轮循、最短响应时间、最少连接数等多种方式中灵活选取最适合的方式，充分发挥服务器的性能。网络拓扑应用如下图所示。

（Array Networks DNS服务优化网络拓扑图）

如果将来需要增加新的DNS服务器时，只要将新的服务器添加到相应的服务组中，即可实现设备的扩充，达到平滑升级（如图中的Real6）

多台DNS服务器组成一个服务组，分担所有负载，降低了单台服务器的开销，大大加快了处理的速度，提高了用户的响应速度，当服务组中部分主机的故障，用户解析请求也能由其它的DNS服务器进行处理，确保了服务的不中断性。

通过应用业界领先的Array TM系列产品的应用，能够从以下几方面针对DNS应用进行优化：

2.1 DNS系统的整体性能提高

企业级或电信级的DNS系统将通过多台DNS域名解析服务器来处理所有用户的域名解析请求。在Array DNS优化解决方案中，通过应用能够实现DNS应用负载均衡功能和DNS Cache 功能的TM系列设备，将用户的域名解析请求，根据预先配置的策略和算法，分担到多台DNS 域名解析服务器，优点在于：

负载均衡可以根据后台的DNS解析服务器的当前性能平均分配流量，使每个后台DNS域名解析服务器的性能充分发挥，充分提高了整个DNS平台的处理能力。

在提供DNS服务器均衡功能的基础上，Array TM系列产品还具有DNS A记录的Cache 功能。通过TM产品中DNS Cache功能的应用，能够最多保存十万条A记录的DNS解析，而这十万条DNS记录将是用户最常发出的DNS解析请求。当用户域名解析请求发送到TM设备上时，TM将首先判断能否使用DNS Cache中保存的解析内容直接响应用户的请求，如找到

相匹配的解析，则直接响应访问请求，否则将用户的访问请求发送到后台的DNS服务器上进行域名解析处理。通过TM系列产品中的DNS Cache功能的应用，能够在更快的响应常见的域名解析请求的同时，减小后台服务器的负载，并在很大程度上保证了后台DNS服务器的安全性

Array TM系列产品的应用有利于DNS服务系统的透明性，可扩展性以及DNS服务器的维护。可以随时方便的添加新的DNS服务器或者对其中的某一台DNS服务器进行下线维护。随着上网用户的激增，这一点是非常重要的，非常有利于DNS服务器的维护和扩容。

2.2 DNS系统的可靠性提高

随着DNS用户的激增，如果只有单台的DNS解析服务器出现宕机或DNS服务停止等故障，容易造成服务器节点的单点故障，进而影响整个网络应用。通过TM产品DNS服务器负载分担功能的应用能够保证和实现系统的冗余，同时使用两台Array TM系列产品，能够保证当一台服务器Array TM系列产品出现问题，后台的DNS解析服务仍然能够通过另一台Array TM 系列产品正常工作，当正常情况时两台Array TM系列产品同时工作，最大程度的保证了链路的畅通和用户投资，实现了365X24的不间断服务保障。

2.2.1 DNS服务器之间的冗余功能

对于每个不同的接入方式的用户，应该配备多台DNS解析服务器，并且通过Array TM 系列产品对外提供服务。通过TM产品DNS服务健康检查功能的应用，能够即时发现DNS服务器的运行状态并进行判断，当某台服务器无法正常提供DNS服务时，TM能够将域名解析请求发送到其它的DNS服务器上进行处理，实现了DNS服务器之间的冗余功能。

2.2.2 DNS系统中负载均衡产品（Array TM）的冗余和容错

Array TM系列产品具有Cluster功能，能够实现两台或多台TM设备，最多32台TM设备的集群，通过Active-Active或Active-standby方式工作。在保证自身功能可靠的同时，通过Active-Active 集群功能的配置能够实现整体处理能力达到一台TM的多倍。

2.2.3 DNS负载均衡设备健康检查机制

Array TM系列产品能够真正有效的判断DNS服务的运行状况，通过针对DNS服务的健康检查机制，即时发现不能正常提供域名解析服务的服务器，并进行隔离处理。

对于后台DNS服务器的健康检查而言，通过Array TM产品可以通过两种方式实现：（1）基于ISO的网络七层的应用层（四层）DNS服务53端口的健康检查

（2）Array TM系列产品可以向后台的DNS域名解析服务器发送一个特定的域名，根据解析的结果来检测DNS服务器的工作状态，可以有效的判断出某一项服务是否正常工作。

基于DNS端口和应用程序的健康检查可以有效的准确的判断服务器的健康状况，提高服务质量。

2.3 DNS系统的安全性优化

Array TM系列产品提供状态检测防火墙和入侵防护功能，并支持地址翻译技术和安全地址映射功能，通过默认情况下此技术的实现，访问客户不可能知道真正提供的服务器的IP地址与端口，同时通过TM产品中Webwall防护墙和入侵防护功能（此功能通过美国ISS X-Forced入侵防护功能认证）的应用，能够按需实现对TM产品及应用的安全防护，另外，TM的管理全部采用SSH和SSL over Http技术，可以防止来自内部或互联网上的攻击。

2.4 DNS系统/网络的可运维性

Array TM系列产品提供人性化的管理配置方式，在提供通过命令行方式进行管理配置的基础上，还能够通过图形化WebUI方式进行远程图形化管理配置，具有命令行方式和图形化方式同时，还提供了丰富的监控调试命令和图形化监控调试界面。同时TM产品还支持SNMPv2协议，可以用户现有的网管软件结合起来，方便DNS应用平台的集中管理，在支持log发送功能，和邮件报警功能的基础上，为DNS业务的分析判断提供了坚实的数据基础。

三、Array DNS服务负载均衡解决方案成功案例（黑龙江网通）

中国网络通信集团公司是由中央管理的特大型国有通信运营企业集团，它的DNS服务业务为所有宽带用户、拨号用户、网吧用户和绝大部分专线用户提供7x24不间断的域名解

析服务。DNS服务业务的稳定、可靠运行是

中国网通网络应用的有力保证。为保证DNS

业务的安全性和稳定性，并实现高速访问等

功能需求，中国网通采用业界领先的Array

Networks公司的集成化应用安全加速和流

量控制系统—Traffic Manager来实现DNS

服务器的安全防护、负载均衡、高可靠性和

TM设备自身冗余等功能。拓扑结构如下图所

示：

在此应用中，DNS域名解析请求都先经过Array TM的处理，Array TM首先根据预先制定并激活的防火墙安全策略进行访问控制检查并防止可能存在的各种攻击行为，然后在服务

器健康检查的基础上，根据各服务器的负载情况决定将流量分担到哪一个后台服务器，保障每个用户的请求都能获得最优的响应质量；如果任何一个服务器出现故障，Array TM的智能健康监测机制都可以随时了解到相关状况，并自动进行智能调整，正常情况下，两台TM 采用Active-Active模式同时工作，当一台TM设备不能提供服务时，另一台TM能够自动接管所有故障TM的工作，从而有力保证了所有设备故障都对用户是透明的，用户端不会因此受到任何影响。

通过采用Array TM的服务器负载均衡等技术，我们为中国网通DNS业务系统提供了高性能、高安全性、高可靠性以及高扩展性的保障。网通技术部李兴诚先生表示：“Array Networks公司提供的技术设备具有最丰富的功能、最大的拓展性和最佳的性能。除了技术层面的因素外，我们选择Array Networks作为合作伙伴的另一个重要因素是Array Networks 在中国具有优秀的技术支持团队和独特的本地研发力量，可以满足中国网通对未来业务扩展而不断产生的新的需求。”