DNS
出自 MBA智库百科(https://wiki.mbalib.com/)
DNS(Domain Name System，功能變數名稱系統)
目錄 |
DNS全稱Domain Name System，Domain Name被譯為功能變數名稱，中文名為功能變數名稱系統，也稱為功能變數名稱解析系統；另外功能變數名稱伺服器Domain Name Server也簡稱為DNS。
功能變數名稱系統是網際網路的一項內核服務，它作為可以將功能變數名稱和IP地址相互映射的一個分散式資料庫，能夠使人更方便的訪問互聯網，而不用去記住能夠被機器直接讀取的IP數串。DNS是具有樹型結構的名字空間，核心功能是完成功能變數名稱到IP地址的轉換，使用TCP和UDP埠53。
通俗地說，DNS幫助用戶在互聯網上尋找路徑。在互聯網上的每一個電腦都擁有一個唯一的地址，稱作“IP地址”（即互聯網協議地址）。由於IP地址（為一串數字）不方便記憶，DNS允許用戶使用一串常見的字母（即“功能變數名稱”）取代。DNS命名用於Internet等TCP/IP網路中，通過用戶友好的名稱查找電腦和服務。當用戶在應用程式中輸入DNS名稱時，DNS服務可以將此名稱解析為與之相關的其他信息，如IP地址。因為，你在上網時輸入的網址，是通過功能變數名稱解析系解析找到相對應的IP地址，這樣才能上網。其實，功能變數名稱的最終指向是IP。
雖然功能變數名稱系統後便於人們記憶，但網路中的電腦之間只能互相認識IP地址，它們之間的轉換工作稱為功能變數名稱解析，功能變數名稱解析需要由專門的功能變數名稱伺服器（Domain Name Server）來完成，這裡的DNS就是功能變數名稱伺服器。
DNS最早於1983年由保羅·莫卡派喬斯（Paul Mockapetris）發明；原始的技術規範在882號網際網路標準草案（RFC 882）中發佈。1987年發佈的第1034和1035號草案修正了DNS技術規範，並廢除了之前的第882和883號草案。在此之後對網際網路標準草案的修改基本上沒有涉及到DNS技術規範部分的改動。
早期的功能變數名稱必須以英文句號“.”結尾,當用戶訪問wiki.mbalib.com的HTTP服務時必須在址欄中輸入：http://wiki.mbalib.com. ，這樣DNS才能夠進行功能變數名稱解析。如今DNS伺服器已經可以自動補上結尾的句號。
當前，對於功能變數名稱長度的限制是63個字元，包括www.和.com或者其他的擴展名。功能變數名稱同時也僅限於ASCII字元的一個子集，這使得很多其他語言無法正確表示他們的名字和單詞。基於Punycode碼的IDNA系統，可以將Unicode字元串映射為有效的DNS字元集，這已經通過了驗證並被一些註冊機構作為一種變通的方法所採納。
1、技術角度看
2、資源角度看
- 功能變數名稱是互聯網上的身份標識，是不可重覆的唯一標識資源；
- 互聯網的全球化使得功能變數名稱成為標識一國主權的國家戰略資源。
1、針對功能變數名稱系統的惡意攻擊：DDOS攻擊造成功能變數名稱解析癱瘓。
2、功能變數名稱劫持：修改註冊信息、劫持解析結果。
3、國家性質的功能變數名稱系統安全事件：“.ly”功能變數名稱癱瘓、“.af”功能變數名稱的功能變數名稱管理權變更。
Internet功能變數名稱系統是一個樹型結構，其形式如下：
com(企業)、net(網路運行服務機構)、gov(政府機構)、org(非營利性組織)、edu(教育)域由InterNic管理，其註冊、運行工作目前由Network Solution公司負責。
7個新的頂級功能變數名稱分別是：firm(公司企業)、shop(商店)、web(希望突出萬維網活動的實體)、arts(主要從事娛樂文化活動的實體 )、rec(主要從事娛樂文化實體)、info(主要從事信息服務實體)、nom(一些希望在互聯網上發佈個人信息的人)將於1998年啟動，這些功能變數名稱的註冊服務由多家機構承擔，CNNIC也有幸成為註冊機構之一。
按照ISO－3166標準制定的國家功能變數名稱，一般由各國的NIC(Network Information Center，網路信息中心 )負責運行。
我國功能變數名稱體系分為類別功能變數名稱和行政區功能變數名稱兩套。
類別功能變數名稱是指圖中最下麵一行前面的六個功能變數名稱，分別依照申請機構的性質依次分為：AC－科研機構；COM－工、商、金融等專業；EDU－教育機構；GOV－政府部門； NET－互聯網路、接入網路的信息中心和運行中心；ORG－各種非盈利性的組織。
行政區功能變數名稱是按照我國的各個行政區劃分而成的，其劃分標準依照國家技術監督局發佈的國家標準而定，包括“行政區功能變數名稱”34個，適用於我國的各省、自治區、直轄市，分別為：BJ－北京市；SH－上海市；TJ－天津市；CQ－重慶市；HE－河北省；SX－山西省；NM－內蒙古自治區；LN－遼寧省；JL－吉林省；HL－黑龍江省；JS－江蘇省；ZJ－浙江省；AH－安徽；FJ－福建省；JX－江西省；SD－山東省；HA－河南省；HB－湖北省；HN－湖南省；GD－廣東省；GX－廣西壯族自治區；HI－海南省；SC－四川省；GZ－貴州省；YN－雲南省；XZ－西藏自治區；SN－陝西省；GS－甘肅省；QH－青海省；NX－寧夏回族自治區；XJ－新疆維吾爾自治區；TW－臺灣；HK－香港；MO－澳門。
CN功能變數名稱除edu.cn由CernNic(教育網)運行外，其他均由CNNIC運行。
事件一：
2010年1月12日，搜索引擎網站百度（http://www.baidu.com ）7時左右突然無法打開。與此同時，百度旗下貼吧功能變數名稱（www.tieba.com）也無法正常訪問。11時左右，百度故障依然沒有修複，百度公司向騰訊科技發來公告，稱功能變數名稱遭非法篡改，公司正在積極處理。12時左右，全國各地訪問百度首頁陸續恢復正常。[1]安全專家分析認為，此次攻擊黑客利用了DNS記錄篡改（DNS劫持）的方式[2]。
DNS劫持是安全界常見的一個名詞，劫持了DNS伺服器，意思是通過某些手段取得某功能變數名稱的解析記錄控制權，進而修改此功能變數名稱的解析結果，導致對該功能變數名稱的訪問由原IP地址轉入到修改後的指定IP，其結果就是對特定的網址不能訪問或訪問的是假網址，從而實現竊取資料或者破壞原有正常服務的目的[2]。
通常在三種情況下會遇到DNS劫持的問題[2]：
1、用戶電腦感染病毒，病毒在操作系統中的HOSTS文件中添加了虛假的DNS解析記錄。Windows中HOSTS文件的優先順序高於DNS伺服器，操作系統在訪問某個功能變數名稱時，會先檢測HOSTS文件，然後再查詢DNS伺服器。
2、用戶試圖訪問的網站被惡意攻擊。這種情況下，你可能訪問到的是一個欺騙性網站，也有可能被定向到其它網站。
3、用戶在瀏覽器中輸入了錯誤的功能變數名稱，導致DNS查詢不存在的記錄。以前遇到這種情況，瀏覽器通常會返回一個錯誤提示。而最近，這種情況下用戶會看到ISP設置的功能變數名稱糾錯系統提示。
DNS劫持的基本原理是把功能變數名稱翻譯成IP地址，以便電腦能夠進一步通信，傳遞網址和內容等。
由於功能變數名稱劫持往往只能在特定的被劫持的網路範圍內進行，所以在此範圍外的功能變數名稱伺服器(DNS)能夠返回正常的IP地址，高級用戶可以在網路設置把DNS指向這些正常的功能變數名稱伺服器以實現對網址的正常訪問。所以功能變數名稱劫持通常相伴的措施——封鎖正常DNS的IP。
如果知道該功能變數名稱的真實IP地址，則可以直接用此IP代替功能變數名稱後進行訪問，從而繞開功能變數名稱劫持(但如果網頁儲存公司使用虛擬主機存放網頁的話就不能簡單如此配置，因為一個IP可連去多個功能變數名稱)。
專家表示，黑客入侵大型網站本身越來越難，因此通過劫持DNS“黑”大型網站會越來越流行。
事件二：
2013年8月25日凌晨，“ .CN”功能變數名稱經歷驚魂一夜，部分.CN功能變數名稱在當日凌晨出現無法解析的問題。功能變數名稱解析服務商DNSPod創始人吳洪聲在稱，故障發生是由於當時.CN功能變數名稱的根伺服器受到攻擊，授權DNS陷入全線故障，多家網站及新浪微博客戶端無法登錄。
距這次事故發生一個月後，CNNIC和工信部終於揪出了本次攻擊事件的始作俑者：一名來自山東青島的黑客。據調查發現，該黑客本意是要攻擊一個游戲私服網站，使其癱瘓，後來他為了更快達到這個目的，直接對.CN的根功能變數名稱伺服器進行了DDoS攻擊，發出的攻擊流量堵塞了.CN根伺服器的出口帶寬(據工信部數據：攻擊時峰值流量較平常激增近1000倍，近15G)，致使.CN根功能變數名稱伺服器的解析故障，使得大規模的.CN功能變數名稱無法正常訪問。
評論測試