正文：
随着DNS从分布式数据库查询工具转变为网络战中的恶意武器，我们对DNS的思考产生了深远的影响。记得几年前，曾有人高呼：“让我们共同努力，找出所有这些开放解析器并关闭它们！”然而，如今这样的呼声已经不再听到。这似乎是市场作用的一个明显案例——消除攻击并无利可图，而满足客户在任何情况下都能使用服务的需求则有利可图。我们的自我认知已经从公共DNS警察转变为保护付费客户利益的私人雇佣兵。我们被雇佣来关心受害者，而不是攻击者。这意味着我们在DNS上的关注点已经改变。我们现在感兴趣的是提高某些权威名称服务器的吞吐量和容量，以便简单地吸收攻击。我们正在研究内核中的UDP处理路径，研究如何在飞行中高效地签名，以及如何在解析器中执行高级过滤，以尽可能快和高效地拒绝攻击包。所有这些工作都不是为了装备权威名称服务器以处理常规流量，而是为了使它们能够在面对这些攻击的情况下继续为常规流量提供服务。
DNS协议的防御策略
我们正在研究DNS协议本身，思考“无此域名”和“无此名称”响应之间的区别，目的是将攻击流量从权威服务器的集中区域推回到个别递归解析器的边缘。我们正在以更通用的方式重新思考负面回答，目的是将流量从权威服务器引开。一种思路是，所有这些都有助于构建一个更健壮的DNS，对所有用户都有利。如果真的如此，那将是极好的。但我不禁想到，攻击导致了不同的反应，这是一个令人担忧的反应。防御是昂贵的，而且对这些攻击形式进行真正有效的防御是非常昂贵的。现在，保护你的DNS已经成为一场只有你能负担得起才能赢得的游戏。我担心，由于我们被迫更多地关注受害者而不是攻击者，这些攻击正在创造一个两级的DNS系统。一方面是为那些能够支付高度先进的工程费用，使服务能够在最艰难和困难的情况下运行的人，另一方面则是一个三流的、充满毒性的DNS荒漠，我们对此已经放弃了。对于我们的DNS，正在消失在这个充满挑战的世界中。
防御成本与DNS的未来
防御DNS攻击的成本很高，而且真正有效的防御措施成本更高。现在，保护DNS已经成为一场只有你能负担得起才能赢得的游戏。这种情况下，我们可能会看到一个两级的DNS系统，一个是为那些能够支付昂贵防御措施的人准备的，另一个则是我们放弃的、充满毒性的DNS荒漠。这不仅仅是一个技术问题，更是一个关于网络公平性和可访问性的问题。我们必须找到一种方法，确保所有用户都能在安全的环境中访问网络资源，而不仅仅是那些能够负担得起昂贵防御措施的用户。只有这样，我们才能确保互联网的开放性和连通性得到维护。
结尾：
对于运维和网络工程师来说，了解如何防御DNS攻击具有重要的实际意义。这不仅关乎他们所服务的网络的安全，也关乎整个互联网生态系统的稳定。通过掌握DNS防御的策略和技术，工程师们可以更好地保护他们的网络不受攻击，确保服务的连续性和可靠性。同时，这也要求他们不断更新知识，跟上网络攻击技术的发展，以应对日益复杂的网络安全挑战。
原文: APNIC Blog（2015-05-14）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog