DNS故障应急是每个依赖域名提供服务的团队都必须面对的课题。当权威服务器遭受攻击导致解析中断时，用户可能无法访问网站或应用，业务损失往往以分钟计。本文聚焦于权威服务器被攻击的场景，提供一套可操作的应急演练指南。需要说明的是，本指南适用于拥有自建权威DNS或托管权威DNS的团队，且假设您已经具备基本的DNS知识和监控能力。若您的DNS服务完全由云厂商托管，部分操作可能不适用，但核心思路仍然相通。
攻击类型与影响边界
权威DNS服务器可能遭受多种攻击，每种攻击的影响范围和应急手段不同。常见的攻击类型包括：
- DDoS攻击：通过大量流量淹没权威服务器，使其无法响应合法查询。影响范围取决于攻击规模和服务器的带宽、处理能力。
- 缓存投毒：攻击者向递归服务器发送伪造的DNS响应，导致缓存中存储错误的解析记录。影响范围可能波及所有使用受影响递归服务器的用户。
- 配置篡改：攻击者利用漏洞或弱密码修改权威服务器上的Zone文件，将域名指向恶意IP。影响范围直接且严重。
- 资源耗尽：通过大量查询消耗服务器资源，例如随机子域名查询（NXDomain攻击）。影响范围可能仅限特定域名。
在制定应急演练前，必须明确您的权威服务器架构：是单节点还是多节点？是否部署在多个地理位置？是否使用Anycast？这些因素决定了容灾的复杂度。例如，单节点服务器被DDoS攻击时，可能完全不可用；而多节点Anycast网络则可能自动分散流量。
监控与告警：发现故障的第一步
没有监控，就无法及时感知攻击。日志是监控的基础，但正如OWASP日志安全速查表所述，仅仅启用服务器日志是不够的，应用程序日志（此处指DNS服务日志）应被纳入安全事件记录。对于DNS，您需要记录查询日志、区域传输日志、错误日志等。日志应包含时间戳、客户端IP、查询类型、响应码等关键字段，并确保日志的完整性和防篡改。
除了日志，还需要主动探测。建议从多个地理位置（如不同城市或国家）定期发起DNS查询，监控解析结果和响应时间。如果发现响应超时、返回错误或解析结果不一致，应立即触发告警。告警阈值需要根据正常基线设定，例如：响应时间超过500ms持续5分钟，或解析失败率超过10%时告警。
应急演练的准备工作
在攻击发生前，您需要准备以下内容：
- 备用DNS服务：至少准备一个备用权威DNS服务，可以是自建在不同机房的服务器，也可以是第三方托管服务。备用服务的数据应与主服务同步。
- 数据同步机制：使用AXFR/IXFR协议进行主从同步，或使用API方式推送Zone文件。同步频率需根据域名变更频率设定，例如每分钟或每小时。
- 切换机制：确定如何将流量从主服务器切换到备用服务器。通常通过修改注册局处的NS记录，但NS记录的变更可能受TTL影响，需要提前规划。
- 回滚计划：在切换后，如果备用服务也出现问题，需要有回滚到主服务的方案，或切换到第三个服务的方案。
根据OpenTelemetry日志规范，日志应与其他遥测信号（如指标、追踪）关联，以便在应急时快速定位问题。例如，将DNS查询日志与网络流量指标关联，可以帮助识别攻击来源。因此，在准备阶段，应确保日志系统支持多维度的关联分析。
应急演练的具体步骤
以下是一套可操作的应急演练流程，建议在非生产环境先行测试。
1. 演练场景定义
明确演练的目标和范围。例如，模拟主服务器被DDoS攻击，验证备用服务器的切换时间和解析正确性。设定演练时间、参与人员、预期结果。
2. 模拟攻击
使用工具（如dnsperf）向主服务器发送大量查询，或使用tc模拟网络延迟。注意，模拟攻击时不要影响生产环境，可在隔离的测试环境进行。
3. 触发告警与响应
观察监控系统是否触发告警。演练时应记录从攻击开始到告警触发的时间，评估监控的有效性。
4. 执行切换
根据预案，修改注册局或DNS服务提供商的NS记录，将权威服务切换到备用服务器。切换后，从多个探测点验证解析结果。
5. 验证与回滚
确认备用服务正常后，演练结束。如果备用服务异常，则执行回滚。演练后应总结问题，改进预案。
关键操作与取舍
在切换过程中，有几个关键决策点：
- TTL设置：降低TTL可以加速切换生效，但会增加查询负载。通常建议在平时将TTL设置为300秒或更低，以便在故障时快速更新。
- NS记录修改：修改注册局NS记录通常需要较长时间（因注册局处理延迟），且受TTL影响。因此，更快的切换方式是使用支持动态更新的DNS服务，或使用Anycast网络自动分流。
- 数据同步：如果备用服务器的数据不是最新的，切换后可能出现解析错误。因此，同步机制必须可靠，建议使用事务签名（TSIG）保证传输安全。
- 多级容灾：仅依赖单一备用服务器可能不够。建议至少有两个备用节点，分布在不同的网络和地理区域。
失败条件与常见误区
应急演练可能失败，原因包括：
- 监控盲区：如果监控点不足，可能无法及时发现故障。例如，仅监控一个地区的探测点，可能漏掉其他地区的故障。
- 备用服务器同样被攻击：如果攻击者知道备用服务器地址，可能同时攻击。因此，备用服务器的地址应保密，并部署防护措施。
- 同步延迟导致数据不一致：如果同步频率过低，备用服务器可能返回过时的记录。
- 切换操作失误：例如，修改NS记录时拼写错误，导致解析完全中断。
常见误区包括：
- 依赖单一DNS服务商：即使服务商声称有高可用，也可能出现全局故障。
- 忽略递归缓存：即使权威服务器恢复，递归服务器的缓存可能仍指向旧记录，导致故障延续。
- 没有定期演练：预案不经过演练，在真实故障时往往无法有效执行。
参考资料
延伸阅读