移动dns解决方案

1 19 移动移动 DNS 解决方案解决方案 2 19 目目 录录 一 移动 IDC 机房需求分析 3 1 移动 IDC 简介 3 2 域名注册与 DNS 托管 3 3 移动 DNS 部署需求 4 4 Cache 服务器需求 4 1 本地 Cache Server 4 2 DNS 智能解析 5 二 ISP 级别 DNS 部署方式 5 1 DNS 简介 5 2 ISP 传统 DNS 部署方案及问题 6 传统运营商 DNS 部署方案 6 传统方案存在的问题 7 三 阿姆瑞特智能 DNS 解决方案 10 1 阿姆瑞特公司简介 10 2 阿姆瑞特智能 DNS 简介 11 3 XM DNS 移动 IDC 解决方案 12 1 方案介绍 13 2 解决了什么问题 13 4 阿姆瑞特智能 dns 部分成功案例 14 四 阿姆瑞特科技售后服务承诺函 15 1 热线电话和传真服务 16 2 电子邮件和网站技术支持 16 3 三年服务软件产品的更新及维护 16 4 三年服务期内硬件产品的更新及维护 16 5 产品的售后服务体系 16 6 售后服务计划 17 保修期内售后服务承诺 17 保修期外售后服务承诺 18 3 19 一 一 移动移动 IDC 机房需求分析机房需求分析 1 移动移动 IDC 简介简介 传统 IDC Internet Data Center 即互联网数据中心 是专门承接 IT 资源外包以及专 业网络服务的数据中心 IDC 为各类用户提供一个安全 可靠 高速 可扩展的电信服务 场所 借助丰富的网络 IT 资源向企业 网站出租带宽和机位资源 并提供有品质保证的 服务 它提供的业务主要有主机托管 虚拟主机 增值服务和企业应用等 移动互联网数据中心是中国移动通信集团公司所属的 依照国际一流标准设计建设的 专业互联网数据中心 移动 IDC 是依托移动一流的电信级数据网络环境建立起来的具备大 规模服务器托管能力的数据中心 其高度自动化管理系统和高度可扩充设施系统能够为不 同用户提供可靠 快速 全面的托管服务 为上千台服务器提供高品质的网络资源和专业 化服务 作为国内数据业务的主要运营商之一 移动 IDC 将运用自身专业化管理 全新的服务 理念 以及技术 市场和资源优势 与企业一起探索电子商务创新的经营模式 务实的管 理机制 提供开展电子商务所需的技术服务 推动企业核心价值的稳定增长 2 域名注册与域名注册与 DNS 托管托管 任何个人或机构 必须先与管理域信息的两个单独实体接洽 然后才能在 Internet 上 使用自己的域名 这两个实体分别是 域名注册机构 和 DNS 托管机构 通常 域名注册 机构也是 DNS 托管机构 但是 并非始终如此 域名注册机构是负责注册域名的公司 从个人到跨国公司 所有用户都必须先通过域 名注册机构注册其域名 所有域名注册机构都必须获得互联网名称与数字地址分配机构 ICANN 的认证 当您在特定域名注册机构那里搜索可用域名时 实际上是在向全世界的 所有域名注册机构搜索该域名的可用性 DNS 托管服务是拥有包含域的 DNS 记录的 DNS 服务器的公司 某些域名注册机构提 供 DNS 托管服务 作为其域注册的一部分 而其他域名注册机构则不提供 DNS 托管服务 与必须在可信任的域名注册机构那里注册的域名不同 任何具有已注册的域名和公用 IP 地 址的个人或公司都可以创建公用 DNS 服务器 并驻留任意数量域的 DNS 记录 当某个域 4 19 的 DNS 记录由 DNS 托管服务驻留时 您和 Internet 的其余人实际上都可以使用该域 3 移动移动 DNS 部署需求部署需求 虽然任何具有已注册域名和公网 IP 地址的个人或公司都可以自行创建 DNS 服务器 并 驻留任意数量的 DNS 记录 但对于绝大部分的个人 中小企业和政企机构等用户 自行创 建并维护 DNS 服务器 是一件非常可拍的事情 首先 额外的硬件资本投入是一份不小的 开支 其次个人搭建的 DNS 服务器在稳定性 性能和安全等方面存在很大隐患 再次 DNS 服务器的维护需要占用额外的人力 因此几乎 90 以上用户会选择 DNS 托管服务 然而 选择 DNS 托管机构也是一件非常麻烦的事情 某些 DNS 托管公司允许用户自 行创建和修改域的 DNS 记录 其他 DNS 托管公司则不允许用户直接修改 而且 并非所 有 DNS 托管服务都支持所有种类的 DNS 记录 例如 某些 DNS 托管服务不支持 TXT 记 录或 SRV 记录 另外 DNS 的主动权掌握在别人手中 需要自行增加二级域名等情况发生 时 需要向托管机构提交申请 要等待漫长的验证时间 作为河南省最大的 IDC 之一 移动占据了大量的服务器等托管业务市场份额 托管的 网站等业务 如果 DNS 解析不能自己掌握 将会是一件非常可怕的事情 同联通 电信不 同 移动 IDC 主要提供服务器托管 DNS 解析托管 用户请求的域名基本都在本地 DNS 部 署 即移动 IDC 机房的 DNS 服务器是这些网站的权威 DNS 服务器 DNS 主要工作压力来自 解析查询和响应 4 Cache 服务器需求服务器需求 移动 IDC web 托管服务中 必不可少的一项就是为客户提供边缘网络镜像 即 CDN 的 边界内容缓存服务器 例如北京电信托管的某大型门户网站 要求实现 CDN 功能 当河南 的用户访问该网站 要能够遵循就进访问的原则 访问河南本地的镜像内容 达到这一预 期目标 有两点是必须做到的 DNS 智能解析 河南内容 Cache 服务器 1 本地本地 Cache Server 首先 河南本地必须有 Cache Server 用来提供用户访问的网站内容 这是前提条件 CDN 边界内容服务器并不是传统意义的镜像站点 它可以是一台服务器 同时缓存 N 多站 5 19 点的全部或部分内容 灵活的提供边界层次的便捷访问 对于来访用户完全透明 其次 随着缓存内容的增加 来访用户并发连接 每秒新建回话数 服务器查询进程 等会指数级增长 性能耗费要远大于提供单一站点访问的原 web 服务器 因此 Cache Server 除了对内存要求特别高以外 一般都采用集群方式部署 并且要求 做到高效率的负载均衡 2 DNS 智能解析智能解析 实现 CDN 的前提是能够有效将用户的访问引至最近的 Cache Server 这就要求负责该 域名解析的 DNS 服务器支持智能解析 能够按照来访用户所属物理地域范围 返回合理的 IP 地址 普通 DNS 服务器并不能做到这一高级功能 二 二 ISP 级别级别 DNS 部署方式部署方式 1 DNS 简介简介 DNS 是域名系统 Domain Name System 的缩写 它是由解析器和域名服务器组成的 域名服务器是指保存有该网络中所有主机的域名和对应 IP 地址 并具有将域名转换为 IP 地 址功能的服务器 其中域名必须对应一个 IP 地址 而 IP 地址不一定有域名 域名系统采用 类似目录树的等级结构 域名服务器为客户机 服务器模式中的服务器方 它主要有两种形 式 主服务器和转发服务器 将域名映射为 IP 地址的过程就称为 域名解析 在 Internet 上域名与 IP 地址之间是一对一 或者多对一 的 域名虽然便于人们记忆 但机器之间只 能互相认识 IP 地址 它们之间的转换工作称为域名解析 域名解析需要由专门的域名解析 服务器来完成 DNS 就是进行域名解析的服务器 DNS 命名用于 Internet 等 TCP IP 网络 中 通过用户友好的名称查找计算机和服务 当用户在应用程序中输入网站名称时 DNS 服务可以将此名称解析为与之相关的其他信息 如 IP 地址 因为 你在上网时输入的网 址 是通过域名解析系统解析找到了相对应的 IP 地址 这样才能上网 6 19 2 ISP 传统传统 DNS 部署方案及问题部署方案及问题 传统运营商传统运营商 DNS 部署方案部署方案 与普通用户不同 运营商 DNS 服务器对性能 稳定性要求更加苛刻 联通 电信等运 营商 由于提供宽带上网业务 宽带用户群体庞大 客户端上网所设 DNS 服务器就位于各 地市的 ISP 中心机房 联通 电信的 DNS 服务器 主要充当了 DNS 转发 缓存的角色 因 为用户访问互联网的绝大部分网站 都不在运营商本地 DNS 上 即 联通和电信的本地 DNS 服务器不是用户访问目标的权威解析服务器 其主要负担来自缓存和转发 每秒千万级别的查询请求 需要强大处理能力做支撑 任何常规的 DNS 服务器都是无 法胜任的 为了解决 DNS 服务器瓶颈问题 服务器集群方案被引入 DNS 部署架构 同一地 点的 DNS 服务器群内 每台服务器除了私网地址外 还公用同一个公网 ip 地址 该地址即 为注册生效的 DNS 地址 图 1 常规 ISP DNS 部署图 如图 1 所示 通常运营商会选择多台性能强劲的 X86 通用服务器 安装 windows 或者 Linux 操作系统 然后结合 windows 自带的服务或者 Bind 软件 以服务器集群的方式搭建 DNS 服务 7 19 传统方案存在的问题传统方案存在的问题 1 解析不够智能解析不够智能 Windows 平台下不能实现智能解析 额外安装系统自带的 dns 服务和相关组件就可以 搭建一个简单的 DNS 服务器 但是无法实现按照线路和区域实现智能解析 不能解决不同 ISP 互访的瓶颈问题 更常见的 DNS 服务器是搭建在 Linux 系统下的 Bind 无疑是业界实用最普遍的 DNS 软 件 作为 DNS 各种规范的实际 制作者 Bind 源自 Unix 系统 却发祥与 Linux 90 以 上的 DNS 服务器就是基于 Linux 下的 Bind 软件实现的 当然 Bind 是可以实现部分智能解 析功能的 比如按照来访用户所属运营商不同 返回不同的 IP 地址等 但是该功能的实现 是基于比较简单的方法 线路区域 需要手工建立一个个 IP 地址段 定义某些 IP 段属于哪 个 ISP 线路 但 Bind 要实现某些高级的智能解析就有点吃力了 比如对 CDN 的支持就不够 完美 甚至某些情况下无法实现 2 性能有瓶颈性能有瓶颈 Windows 友好的操作界面确实为管理员提供了不少方便之处 但是庞大的 windows 系 统本身并不是为专业 DNS 服务量身定做的系统 即使在没有任何工作的情况下 绝大部分 内存 cpu 和中断等资源都被系统各种服务和无关进程占用着 DNS 服务并不能获得高优 先级 因此 windows 下搭建 DNS 应付小需求还可以 在运营商部署确是一个噩梦 Linux 下的 Bind 已经相当出众 但却受到所在平台的严重约束 强大的硬件平台 却 无法得到 Linux 高度的优化 各种协议栈的通用性降低了系统对硬件性能的挖掘力度 不 能很好的提升网卡的处理能力 特别是小包和短时间内的链接建立 保持 断开 当代 通用的 X86 平台硬件配置已经相当优越 并且升级也非常方便 但是 X86 平台并不适和实 时操作系统和网络任务 尤其针对小包的处理 性能下降率在 60 至 90 Bind 结合 Mysql 数据库 在 3 0Ghz 双核 cpu 4G 内存的服务器上测试 性能为 40000qps 上下 针对省级 DNS 千万 qps 级别的处理量 需要这样的服务器约上百台 当然 目前服务器的硬件配置已经相当可观 但是如此强劲的配置得到的性能确实不太理想的 并且如图 1 所示 常规的集群方法是通过 Windows 或者 Linux 自带的服务器或者软件 实现负载均衡 其实通过操作系统实现的集群方式的负载均衡 本身存在一定的问题 因 8 19 为对外透明的情况下 同一角色的集群成员服务器公用同一个公网 IP 当数据包到达该 IP 即到达该集群 集群服务或者软件会根据一定的算法判断由其中某一台服务器做出响 应 初衷是好的 但是实现方式确实以广播的形式通过给该集群的每一位成员 最然最终 是只有一台服务器响应 但是每台服务器每次都要接受处理广播报文 对整个集群的性能 也是一种不小的负担 3 安全性差安全性差 随着信息化的高速发展 目前的网络安全现状和前几年相比 已经发生了很大的改变 蠕虫 病毒 木马 漏洞攻击 DDoS 攻击等威胁互相结合 对网络的稳定运行和应用安全 造成了较大的威胁和不良影响 其中针对 DNS 域名服务器 Domain Name Service 的攻 击也已成为最严重的威胁之一 DNS 是 Internet 的重要基础 包括 WEB 访问 Email 服务 在内的众多网络服务都和 DNS 息息相关 因此 DNS 的安全直接关系到整个互联网应用能否 正常使用 DNS 系统面临的安全威胁系统面临的安全威胁 作为当前全球最大最复杂的分布式层次数据库系统 由于其开放 庞大 复杂的特性 以及设计之初对于安全性的考虑不足 再加上人为攻击和破坏 DNS 系统面临非常严重的 安全威胁 因此如何解决 DNS 安全问题并寻求相关解决方案是当今 DNS 亟待解决的问题 DNS 安全防护主要面临如下威胁 对对 DNS 的的 DDoS 攻击攻击 DDoS Distributed Denial of Service 攻击通过僵尸网络利用各种服务请求耗尽被攻击 网络的系统资源 造成被攻击网络无法处理合法用户的请求 而针对 DNS 的 DDoS 攻击又 可按攻击发起者和攻击特征进行分类 按攻击发起者分类 僵尸网络 控制大批僵尸网络利用真实 DNS 协议栈发起大量域名查询请求 模拟工具 利用工具软件伪造源 IP 发送海量 DNS 查询 按攻击特征分类 Flood 攻击 发送海量 DNS 查询报文导致网络带宽耗尽而无法传送正常 DNS 查询请求 资源消耗攻击 发送大量非法域名查询报文引起 DNS 服务器持续进行迭代查询 从而 达到较少的攻击流量消耗大量服务器资源的目的 9 19 DNS 欺骗欺骗 DNS 欺骗是最常见的 DNS 安全问题之一 当一个 DNS 服务器由于自身的设计缺陷 接 收了一个错误信息 那么就将做出错误的域名解析 从而引起众多安全问题 例如将用户 引导到错误的互联网站点 甚至是一个钓鱼网站 又或者发送一个电子邮件到一个未经授 权的邮件服务器 攻击者通常通过三种方法进行 DNS 欺骗 缓存污染 击者采用特殊的 DNS 请求 将虚假信息放入 DNS 的缓存中 DNS 信息劫持 攻击者监听 DNS 会话 猜测 DNS 服务器响应 ID 抢先将虚假的响应 提交给客户端 DNS 重定向 将 DNS 名称查询重定向到恶意 DNS 服务器 系统漏洞众多系统漏洞众多 BIND Berkeley Internet Name Domain 是最常用的 DNS 服务软件 具有广泛的使用基础 Internet 上的绝大多数 DNS 服务器都是基于这个软件的 BIND 提供高效服务的同时也存在 着众多的安全性漏洞 CNCERT CC 在 2009 年安全报告中指出 2009 年 7 月底被披露的 Bind9 高危漏洞 影响波及全球数万台域名解析服务器 我国有数千台政府和重要信息 系统部门 基础电信运营企业以及域名注册管理和服务机构的域名解析服务器受到影响 除此之外 DNS 服务器的自身安全性也是非常重要 目前主流的操作系统如 Windows UNIX Linux 均存在不同程度的系统漏洞和安全风险 而补丁的管理也是安全管 理工作中非常重要和困难的一个组成部分 4 管理不方便管理不方便 Linux 环境下通过 Bind 软件搭建的 DNS 服务器 由于是基于命令行的管理方式 不能 提供 Web 方式的管理 操作复杂 门槛较高 并且在需要大量新建或者更改记录时 一条 条命令输入对管理员来说 将会是一件非常痛苦的经历 另外 缺乏有效的审计和日志功能 不能提供详细的统计报表等有价值信息 10 19 三 三 阿姆瑞特智能阿姆瑞特智能 DNS 解决方案解决方案 1 阿姆瑞特公司简介阿姆瑞特公司简介 阿姆瑞特 亚洲 网络有限公司 是一家专业从事网络安全产品研发和服务的跨国 IT 企业 总部设在瑞典 拥有雄厚的公司实力及技术优势 多年来一直致力于网络安全产品 的研发和服务 在全球范围设有多个研发机构和销售网络 为不同的客户提供最先进的 特色化的安全产品和服务 2002 年阿姆瑞特进入中国市场 推出了适合中国市场需求的阿姆瑞特安全网关 灵活 地为 SOHO 企业和电信级用户提供不同的产品和服务 凭借先进的技术和在网络安全领 域的丰富的经验 阿姆瑞特安全网关每三个月至六个月更新一次版本 以保持产品技术的 不断领先 使用户得到更新 更安全的服务 目前 阿姆瑞特已经在北京 西安 南京 上海 广州 成都 重庆 郑州等地先后 建立办事处并将销售延伸到全国各个省市 建立起遍及全国的销售和服务平台 此外 阿 姆瑞特在中国成立了自己的研发中心 进行 QoS 产品 IPv6 安全网关等产品的研发 经过 几年的努力 成功的将这些产品推向市场 已在金融 电信 教育 广电 电力 制造和 政府等行业有广泛应用 得到了客户的一致好评 通过在玛赛 联想 赛迪 计算机世界 等国内大型实验室的优异测试结果 显示了阿姆瑞特产品的卓越品质和公司雄厚的技术实 力 阿姆瑞特人愿通过不懈的努力 与合作伙伴共同为中国网络安全发展做出贡献 阿姆瑞特的目标是 服务于中国的信息安全产业 为用户提供全球领先的安全产品和完善 的服务 2 阿姆瑞特智能阿姆瑞特智能 DNS 简介简介 普通的 DNS 服务器只负责为用户解析出 IP 记录 而不去判断用户从哪里来 这样会造 成所有用户都只能解析到固定的 IP 地址上 图 2 阿姆瑞特智能 DNS 解析流程图 11 19 阿姆瑞特智能 DNS 颠复了这个概念 阿姆瑞特智能 DNS 会判断用户的来路 而做出一 些智能化的处理 然后把智能化判断后的 IP 返回给用户 比如 阿姆瑞特智能 DNS 会自动 判断用户的上网线路是网通还是电信 然后智能返回网通或者电信服务器的 IP 地址 提供 CDN 服务的智能 DNS 能根据用户的来源 分城市或地区来判断用户来源 实质 上是多线多地区智能 DNS 阿姆瑞特多线多地区智能 DNS 能够自动判断用户的上网线路 是上海电信还是广东电信 然后返回对应的上海电信或广东电信服务器 IP 同时阿姆瑞特 智能 dns 还有宕机检测功能 如果服务器宕机或者被检测的服务停止 阿姆瑞特智能 dns 能够实时检测出宕机或应用服务有问题的服务器 IP 并把 dns 解析请求解析到运行正常的 服务器 从而提供一个高可靠永不宕机的服务 另外 当故障的服务器恢复正常后 阿姆 瑞特智能 DNS 还能够自动恢复相应的配置 3 阿姆瑞特阿姆瑞特 DNS 移动移动 IDC 解决方案解决方案 图 3 各地市 DNS 部署方案 12 19 图 4 XM DNS 单 AS 内部署方案 1 方案介绍方案介绍 通常 运营商会在不同地市各自部署不同级别的 DNS 集群 同时 同一个省内 多个 DNS 集群使用的却是同一个公网 IP 那么如何实现同一个 IP 在不同物理位置重复使用呢 这就要借助 BGP 协议和任播协议了 任播从实质范围分为 subnet Anycast 和 Global Anycast 多使用在 ipv6 中 ipv4 中使用 很少 主要在 DNS 部署时 由于 ipv6 在广域网使用不是很广泛 所以此方案主要是使用 ipv4 地址定义的任播 Global Anycas 其中 DNS 集群可以理解为 subnet Anycast 在图 3 中 用户使用 DNS 202 10 1 1 来解析 当解析请求报文到核心路由器 A 时 BGP 协议判断出最优路径 从而将报文路由到本地的 DNS 集群 自治域 B 或者自治域 C 通常 情况下 会优先将报文路由到本地自治域 202 10 1 1 接到解析请求时转发到 DNS 集群 DNS 集群解析后把解析结果返回给 202 10 1 1 然后 202 10 1 1 再把解析结果返回给用户 在同一个地域 阿姆瑞特推荐使用两台高端的 XM DNS 12000 同时 和 CDN 的 Cache Server 共享负载均衡设备 F5 Big IP 如图 4 所示 两台 12000 配置完全一样 不额外配置双 机热备等策略 同时作为 CDN 重要边界内容副本的 Cache Server 也不做系统集群 而是由 F5 实现负载分担与状态检测 13 19 2 解决了什么问题解决了什么问题 通过 BGP 和任播协议 允许运营商在一个省内的多个地市分布式的部署 dns 集群 使 DNS 服务器更加接近最终用户 实现用户就进访问 DNS 大幅度降低了解析时延 同时 专业的负载均衡设备不但提升了 Cache Server 集群性能 也将 DNS 从建立 保 持 释放回话的这些重复繁琐的任务中解脱出来 从而能够更好的提供智能解析和其他特 殊功能 在阿姆瑞特智能 DNS 的配合下 轻松实现智能 DNS 解析 根据来访用户所属线路 区 域给出最优质的解析结果 是返回电信 ip 还是网通 ip 是返回河南的电信 ip 还是北京的电 信 ip 等等 阿姆瑞特智能 DNS 内建性能强大的防火墙功能 可以抵御 90 以上的各种非法攻击 有效保障自身安全 同时 阿姆瑞特智能 DNS 是阿姆瑞特依托自己强大的研发实力 经过 长期的研究和测试开发出来的第四代 DNS 针对强大的专业硬件设备 深度裁剪 定制的 嵌入式系统 充分挖掘每一分硬件性能 提供高性能 高可靠性的同时 从根源上避免了 通用的 Windows 和 Linux 操作系统本身漏洞 大大降低了可攻击面 有效解决了 DNS 系统 存在的各种安全隐患 阿姆瑞特智能 DNS 功能强大却不失小巧玲珑 简单明了的 web 管理方式 支持批量 操作 将管理人员从大量的命令操作中解脱出来 同时能提供详细直观的解析日志 设备 性能等曲线图 为管理员分析发现潜在价值或问题提供难得的第一手资料 14 19 4 阿姆瑞特智能阿姆瑞特智能 dns 部分成功案例部分成功案例 15 19 四 四 阿姆瑞特科技售后服务承诺函阿姆瑞特科技售后服务承诺函 阿姆瑞特通信科技有限公司高度重视售后服务与技术支持 并将 为客户 服务 时刻满足客户需求 作为企业文化的首要点 力求通过服务来完成自己 的使命 凡是购买阿姆瑞特产品及服务的客户 我们将成立由软 硬件与系统 16 19 集成工程师组成的技术支持及售后服务小组 为客户提供全面的售后技术支持 与服务 我公司将提供业界最为专业的服务方案 1 热线电话和传真服务热线电话和传真服务 阿姆瑞特通信科技有限公司全国的热线电话和传真服务 服务热线 传真服务 2 电子邮件和网站技术支持电子邮件和网站技术支持 网站支持 电子邮件 3 三年服务软件产品的更新及维护三年服务软件产品的更新及维护 免费提供主要软件版本的更新升级服务 提供软件修补包及替代方法 4 三年服务期内硬件产品的更新及维护三年服务期内硬件产品的更新及维护 当产品出现硬件故障时 依据情况而确定是否需要更新产品硬件 同时提 供后备产品支持 5 产品的售后服务体系产品的售后服务体系 5 15 1 规模庞大的售后服务网络覆盖全国 规模庞大的售后服务网络覆盖全国 阿姆瑞特服务体系覆盖广泛 布局合理 响应及时 三级服务网络分别为 第一级本部信息系统管理专家服务队伍 负责全国服务网络的技术支持 管理 监督与协调 第二级 各区域信息系统管理专业服务队伍 包括华南区 华中区 华东区 17 19 西部区 华北区和东北区 具备相当的技术实力 是本部在外的分支机构 直 接承担所在地区的信息系统管理服务业务 并负责所辖区域的管理和技术支持 第三级信息系统专业服务商 遍布全国各行业的专业服务商 为您提供延 伸到地市一级城市的信息化管理服务