随着互联网生态系统中域名系统（DNS）的关键作用，它成为了攻击者的目标，而其原始协议的无认证设计使得它天生容易受到各种攻击。为了解决其安全挑战，DNS安全扩展（DNSSEC）被引入以增强原始DNS设计的真实性和完整性，其中每个DNS记录（集）都由签发者的私钥签名，并通过签发者的公钥（DNSKEY记录）验证签名（RRSIG记录）。DNSKEY记录本身也通过其父区域的签名进行验证，直到达到根区域的已知DNSKEY记录（信任锚）。尽管它在顶级域名运营商中得到了广泛支持，但最近的研究表明，DNS注册商对DNSSEC的支持不足在很大程度上导致了DNSSEC部署的缓慢。同样，DNSSEC在世界上最大的网站中的采用率也特别低——2016年，前25个网站中没有支持DNSSEC；这一结果至今仍然如此。这令人费解，因为他们倾向于维护高度安全的基础设施。在这篇文章中，我将概述我在特拉华大学和乔治梅森大学的同事以及我正在进行的研究，研究DNSSEC部署与（基于DNS的）内容分发网络（CDN）广泛使用之间的基本差异。
CDN及其映射系统
CDN通过在地理上分布的边缘网络中放置大量边缘服务器，为终端用户提供高可用性、高性能和可扩展性的互联网内容。通常，CDN通过请求重定向在边缘服务器上提供服务，以缓存内容并允许终端用户近距离访问。为了实现这一点，今天的多数CDN利用映射系统作为核心组件，该系统使用DNS将客户端的请求重定向到近端服务器。传统上，客户端DNS解析器的IP地址被用作近似值来确定客户端的位置，因为映射系统没有其他方法来学习这一点。当启用EDNS-Client-Subnet（ECS）时，映射系统可以使用每个客户端的IP前缀来分配近端边缘服务器。基于DNS的映射系统为请求重定向提供了快速、准确和细粒度的控制。然而，维护基于DNS的映射系统需要额外的运营支持。因此，一些CDN平台也利用了anycast来简化将每个客户端的请求路由到适当服务器的任务，通过这种方式，多个分布式端点宣布相同的IP地址，并且终端用户将通过BGP路由被引导到不同的地形上较近的位置。
动态DNS映射与DNSSEC部署的矛盾
尽管基于DNS的映射系统提供了许多优势，但它也带来了挑战。动态DNS映射系统使得DNSSEC部署变得复杂。由于DNSSEC需要确保DNS记录的真实性和完整性，而动态DNS映射系统可能会频繁更改客户端的IP地址，这导致DNSSEC签名难以保持有效。此外，DNSSEC的部署需要注册商和CDN运营商之间的紧密合作，但动态DNS映射系统可能会破坏这种合作，因为它使得跟踪和维护DNSSEC签名变得更加困难。
对运维/网络工程师的实际意义
对于运维和网络工程师来说，了解动态DNS映射如何阻碍DNSSEC部署具有重要意义。这有助于他们识别和解决可能导致DNSSEC部署失败的技术挑战。通过优化DNS映射系统，并确保与DNSSEC的兼容性，工程师可以确保CDN的高效运行，同时提高网络的安全性。此外，了解这一挑战还可以促进跨行业合作，以推动DNSSEC的更广泛采用，从而为互联网用户提供更安全、更可靠的连接。
随着互联网的不断发展，DNSSEC的安全重要性日益凸显。通过解决动态DNS映射与DNSSEC部署之间的矛盾，我们可以更有效地保护互联网基础设施，防止潜在的攻击，并确保用户数据的安全。
原文: APNIC Blog（2020-01-31）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog