网站域名基础㉑域名系统的容灾设计

网站域名㉑域名基础 域名系统的容灾设计

域名是全互联网的"电话簿"，电话簿不能丢。DNS 从 1983 年设计之初就把容灾写进了基因——这也是它运行四十多年没有大范围瘫痪的根本原因。这一篇把它的容灾设计拆开看。

分布式：没有中心可打

DNS 不是一台巨型服务器，是一棵树：根、顶级域、权威，层层分布。想瘫痪它，找不到一个"总开关"——打掉一个分支，其他分支照常工作；打掉一个节点，流量自动绕行。这个无中心的结构，本身就是第一道容灾。

13 组根：任播的功劳

根服务器逻辑上是 13 组（A 到 M），看着少，是历史报文限制留下的设计。今天靠任播（anycast）技术，这 13 组身份被复制成上千个物理节点散布全球——你查询"根服务器"，实际应答的往往是离你最近的那个镜像。攻击者打瘫一个节点，其余节点无感，流量重新收敛就好。

权威侧：主从双保险

轮到自己的域名，容灾从权威侧开始。规范做法：至少两台权威 DNS，分属不同服务商或不同地域，主从同步数据。一台故障，解析自动落到另一台。域名商让你填的"两条 NS 记录"不是走形式，是保命绳——只填一条，等于把域名命悬一线。

递归侧：缓存与兜底

递归侧有缓存兜底——上一篇刚讲过它的权衡，故障时刻正是缓存的高光：TTL 之内的记录照常应答，为抢修争取宝贵时间。本地运营商 DNS 挂了，还有 119.29.29.29、223.5.5.5 这类公共 DNS 可以手动切换。层层缓存的本质，是把"部分故障"挡在用户感知之外。

几次大故障的共同教训

这些年见过的大面积域名故障，很少是 DNS 协议本身的问题，多是运营侧的：注册商账号被攻击锁定、权威 DNS 配置误删、单一服务商故障拖垮一片。共同教训指向同一件事——域名资产要分散：注册商别全押一家，重要域名留个备用注册商；权威 DNS 别只留一条 NS；关键解析记录离线留档，出事时能秒级重建。

容灾讲的是"坏了还能撑"。下一节把 DNS 从"能解析"推进到"解析得聪明"：负载均衡。

本文收录于徐果萍文集《论持久站 网站域名》，徐果萍博客原创首发。