设为首页 - 加入收藏  
您的当前位置:首页 >人工智能 >从DNS根服务器的分布说起 正文

从DNS根服务器的分布说起

来源:亿华互联编辑:人工智能时间:2025-11-05 12:10:41

 有一个广为流传的根服说法是“全球只有13台DNS根服务器,在这13台根服务器中,布说名字分别为“A”至“M”,根服其中10台设置在美国,布说另外各有一台设置于英国、根服瑞典和日本。布说”

实际情况是根服怎么样的呢?

截止到2018年9月4日,已经部署的布说DNS根服务器的数量达到了937台,这些根服务器广泛地分布在全球各个地方,根服这其中当然也包括了中国。布说

在这些部署在中国的根服根服务器中,台湾有5个,布说香港有7个,根服大陆地区的布说则有北京的4个和杭州的1个。

​[[251139]]​

部署在北京的根服4个根服务器分别是F、I、J、L,部署在杭州的就只有上图中的J一个了。

​[[251140]]​

验证这个事情其实也很简单,云南idc服务商用ping命令看延时就行,我在北京联通网内分别ping了下这4台根服务器,得到的延时大概就是2.7ms、56ms、4.5ms和3.2ms

上面F、J、L这3个2-4ms延时的根服务器无疑就是部署在北京本地的了,可为什么i.root-servers.net的延时会有56ms那么大呢?

用mtr看一下到i.root-servers.net的路径,倒数第二跳IP的反解域名是as8674.dix-ie.jp ,也就是日本的域名了。

再用whois命令看一下as2497和as2500的归属信息,所有者是日本网络信息中心(JPNIC),注册地址在东京

很显然,我访问i.root-servers.net这个根服务器的时候跑到部署在日本东京的这节点上去了。

i.root-servers.net这个根服务器的运营管理者是Netnod,虽然对应的免费信息发布网IPv4和IPv6地址都只有1个,AS号也仅有29216这一个,但实际在全球部署了68个站点,这些站点并不能简单的说是一般意义上的镜像站点,因为对用户来说,这些站点是完全一致和透明的,具体会访问到哪一个取决于用户所在网络运营商的BGP路由策略。

i.root-servers.net这个根服务器虽然也有在北京部署,但显然没有直接跟联通对接,与之对应的是J和L这两个根服务器都是直接接到联通网内的,所以才能做到2-4ms的延时,以l.root-servers.net为例:

F则又略有差异,它是先挂到中国互联网网络信息中心CINIC(as24151)的网络里再跟北京联通城域网连接的。

而如果你在电信网络里,也许访问i.root-servers.net就是直接访问的北京本地这台了。

上面说了这些,其实就只是亿华云想说DNS根服务器都已经采用了BGP anycast技术做多站点跨地域部署。而BGP anycast这个技术的引入,已经是十几年前的事情了,国内流行的说什么美国一断DNS根服务器,中国互联网就瘫痪这种事情,不存在的。

文中的截图多来自http://root-servers.org/ ,有兴趣的可以自行研究,这一篇文字之所以写得少,是因为我懒,后面有空再写anycast相关的内容。

上一篇:关于iptables有价值的信息很多,但是大多都描述的很复杂。假如你想做些基本的配置,下面的 How To 很适合你。 # iptables -L 列出您当前iptables中在规则。假如您是刚刚建立您的服务器,那么可能此时还没有任何规则,而且您应该看到如下: Chain INPUT (policy ACCEPT) Chain FORWARD (policy ACCEPT) Chain OUTPUT (policy ACCEPT) ◆ 允许建立会话 我们可以允许建立会话来接受流量: # iptables -A INPUT -m state --state ESTABLISHED,RELATED -j ACCEPT ◆ 在指定端口上允许入站流量 阻断所有流量您也可以启动系统,但是您可能正在通过SSH工作,所有在您阻断其他流量前有必要允许SSH流量。 为了在22端口号(默认的SSH端口)上的允许流量入站,您可以告诉iptables允许您的网卡接受所有的目的端口为22的TCP流量。 # iptables -A INPUT -p tcp -I eth0 --dport ssh -j ACCEPT 特别的,这将向表中追加(-A)INPUT规则,允许目的端口号为SSH的所有流量进入接口(-i) eth0,以便iptables完成跳转(-j)或动作:ACCEPT 让我们核对下这些规则:(这里仅显示了少数行,您应该看到更多) # iptables -L 现在,让我们允许所有的web流量 # iptables -A INPUT -p tcp -I eth0 --dport 80 -j ACCEPT 检查我们现有的规则 # iptables -L 我们已经指定SSH和web端口为允许通过的TCP流量,但是因为我们还没阻断任何流量,所以到目前为止所有的流量仍然可以进入。 ◆ 阻断流量 一旦一条规则对一个包进行了匹配,其他规则不再对这个包有效。因为我们的规则首先允许SSH和WEB流量,所以只要我们阻断所有流量的规则紧跟其後,我们依然能接受我们感兴趣的流量。大家要做的仅仅是把阻断所有流量的规则放在最後,所以我们需要再次用到它。 # iptables -A INPUT -j DROP 因为我们刚才没有指定一个接口或一个协议,所以除了web和ssh流量外其他任何流量都会被阻断。 ◆ 编辑 iptables 到目前为止我们设置过程中唯一的问题是回环端口(loopbakc)也被阻断了。我们本可以通过指定 -I eth0 来仅仅丢弃eth0上的数据包,但我们也可以为回环端口(loopback)添加一条规则。假如我们追加这条规则,这将太晚了----因为所有的流量已经 被丢弃。我们必须插入这条跪着到第4行。 # iptables -I INPUT 4 -I lo -j ACCEPT 最後2行看起来几乎一样,因此我们可以让iptables列的更详细些。 # iptables -L -v ◆ 日志记录 在上面的例子中,所有的流量都不会被记录。假如您愿意在syslog中记录被丢弃的包, 下面将是最快捷的方式: # iptables -I INPUT 5 -m limit --limit 5/min -j LOG --log-prefix iptables denied: --log-level 7 看 提示 段获得更多关于logging的ideas. ◆ 保存 iptables 假如您现在要重新启动机器的话,您的iptables配置将会消失。为了不用每次重新启动时敲入这些命令,您可以保存你的配置,让它在系统启动时自动启动。你可以通过iptables-save 和iptables-restore命令来保存配置。 保存您的防火墙股则到一个文件 # iptables-save >/etc/iptables.up.rules 接着修改 /etc/network/interfaces 脚本自动应用这些规则(末行是添加的) auto eth0 你也可以准备一组规则冰并自动应用它 auto eth0 ◆ 提示 下面的步骤复习了怎样建立你的防火墙规则,并假定它们相对固定(而且对于大多数人来说它们也应该是)。但是假如你要做许多研究工作,你也许想要你的 iptables在你每次重启时保存一次。你可以在 /etc/network/interfaces 里添加像下面的一行: pre-up iptables-restore < /etc/iptables.up.rules post-down iptables-save >/etc/iptables.up.rules 此行将保存规则用于下次启动时使用。 假如你超出了这个指南来编辑iptables,你可能想利用iptables-save和iptables-restore来编辑和测试你的规则。你可以通过使用你喜爱的文本编辑器(此处为gedit)来打开这些规则文件来完成编辑。 # iptables-save >/etc/iptables.test.rules 你会得到一个如下类似的文件(下面是紧接上的例子文件): # Generated by iptables-save v1.3.1 on Sun Apr 23 06:19:53 2006 注意到这些都是减去iptables命令的iptables语句。随意编辑这些命令、完成後保存它们。然後简单的测试下: # iptables-restore < /etc/iptables.test.rules 测试完毕後,假如你还没添加iptables-save命令 到 /etc/network/interfaces 里面,记得不要丢失了你的更改: # iptables-save >/etc/iptables.up.rules ◆ 更详细的日志 # Generated by iptables-save v1.3.1 on Sun Apr 23 05:32:09 2006 请注意 一个名为 LOGNDROP的链在文件顶部。而且,INPUT链底部标准的DROP被替换成了LOGNDROP,同时添加了协议描述so it makes sense looking at the log。最後我们在LOGNDROP链尾部丢弃了这些流量。下面的行告诉我们发生了什么: * --limit 设置记录相同规则到syslog中的次数 ◆ 禁用防火墙 假如您要临时禁用防火墙,您可以通过下面的命令清空所偶的规则: # iptables -F ◆ 轻松配置通过 GUI 新手可以利用 Firetarter(一个gui工具)---仓库中的可用软件(新立德或apt-get 获得)来配置她或他的iptables规则,而需要命令行知识。请查看指南,尽管…… 配置很简单,但是对于高级用户来说可能远远不能满足。然而它对于大多数的家庭用户来说是足够的…… 。(我)建议您使用firestarter在策略表中将出站配置为 “限制”,而将您需要的连接类型(如用于http的80、https的443,msn chat的1683等等)加入白名单。您也可以通过它查看进出您计算机的活动连接…… 。防火墙会一直保持下去一旦通过向导配置完毕。拨号用户必须在向导中指定它在拨号时自动启动。 firestarter主页: http://www.fs-security.com/ (再次, 仓库源中可用, 不需要编译) 指南: http://www.fs-security.com/docs/tutorial.php 个人笔记:不幸运的是,它没有阻断(或询问用户)特定应用/程序的选项……。因此,我的理解是一旦启用了80端口(例如,用于访问网页),那么任何程序都可以通过80端口连接任何服务器、做任何它想做的事……
下一篇:苹果Mac使用U盘重装系统教程(完整步骤详解,轻松搞定重装系统)
最新文章

1.0323s , 11670.078125 kb

Copyright © 2025 Powered by 从DNS根服务器的分布说起,亿华互联  滇ICP备2023000592号-16

sitemap

Top