F5 Intelligent DNS Scale参考架构

简介

域名系统（DNS）创建于1983年，让人们能够通过名称轻松识别连接到互联网的所有计算机、服务和资源，而不必使用由一串难以记忆的二进制信息组成的互联网协议（IP）地址。

DNS服务器会将您在浏览器中输入的域名转换为IP地址，使设备能够在互联网上找到所需的服务或网站。

DNS可以说是支撑互联网运行的核心技术，也是网络基础设施中的关键组件之一。除了交付内容和应用外，DNS还通过管理分布式冗余架构来确保高可用性和快速的用户响应，因此，构建具备高可用性、智能、安全且可扩展的DNS基础设施至关重要。如果DNS发生故障，大多数Web应用将无法正常运行，进而影响业务和品牌。

F5端到端Intelligent DNS规模化参考架构可帮助组织构建坚实的DNS基础，充分利用资源并提升服务管理能力，同时保持足够的敏捷性，以支持现有及未来的网络架构、设备和应用。

DNS服务对可用性至关重要

当用户请求网页时，该请求会传递到本地DNS服务器，再由本地DNS服务器与主DNS服务器通信。在流量激增或攻击者向服务器发送大量DNS查询请求之前，一切都能正常运行。如果主DNS服务器过载，就会停止响应，可能导致网站无法访问。

DNS故障占Web基础设施停机时间的41%，因此确保DNS持续可用至关重要。Aberdeen Group的一项调查显示，数据中心每停机1小时，组织平均损失138,000美元。停机会对客户造成负面影响，可能导致收入损失，甚至会影响员工访问电子邮件等企业资源。

因此，坚实的DNS基础至关重要。否则，客户可能无法在需要时访问贵公司的内容和应用；如果无法获得所需内容，他们很可能会转向其他服务商。

成长的烦恼

DNS需求快速增长的原因有很多。过去5年，互联网用户数量增长了82%；网站数量从约5.8亿增至12.4亿，DNS查询量增长了100%以上。

此外，正在使用的移动连接数量增加了22亿，近60%的网络用户表示，他们希望网站能在3秒内加载到手机上。

组织的应用数量以及访问这些应用的流量都在快速增长。此外，Web应用本身的规模也在扩大，并且日益复杂。网页上的每个图标、URL和每项嵌入式内容都需要进行DNS查询。加载复杂网站可能需要数百次DNS查询，即使是简单的智能手机应用，也可能需要多次DNS查询才能完成加载。

过去5年中，针对.com和.net地址的DNS查询量增长了一倍以上，2016年第1季度的日均查询量达到1,240亿次。同期，互联网新增域名超过1,000万个。随着更多云实施项目的部署，预计未来增长速度将进一步加快。

安全问题

DNS是互联网的支柱，负责响应所有查询并解析所有数字地址，帮助您找到常用的网站，但它也是网络中最容易受到攻击的环节之一。由于DNS发挥着至关重要的作用，因此成为攻击者眼中的高价值目标。DNS DDoS攻击可能会向DNS服务器发送海量流量，导致服务器瘫痪，也可能劫持请求并将其重定向到恶意服务器。为防止此类情况，必须在网络中集成分布式、高性能且安全的DNS架构和DNS卸载功能。

通常，组织会部署一组DNS服务器，每台服务器每秒最多可处理150,000次DNS查询。高性能DNS服务器每秒可处理约200,000次查询。攻击者很容易发起超过这些处理能力的攻击，Dyn、《纽约时报》、LinkedIn、Network Solutions和Twitter遭遇的DNS中断事件就是例证。

为应对DNS流量激增和DNS DDoS攻击，企业会增加更多DNS服务器，但在正常业务运营期间其实并不需要这些服务器。这种成本高昂的解决方案通常还需要人工干预才能进行更改。此外，传统DNS服务器需要频繁维护和修补，主要是为了应对新出现的漏洞。

传统解决方案

在选择DNS解决方案时，许多组织会采用BIND（Berkeley Internet Naming Daemon），这是互联网最早的DNS解析器。全球约80%的DNS服务器都安装了BIND。BIND是一个由Internet Systems Consortium（ISC）维护的开源项目。ISC是一家非营利组织，旗下设有名为DNS-CO的营利性咨询机构，提供4个不同级别的订阅和支持服务。

尽管BIND广受欢迎，但主要由于漏洞、补丁和升级问题，每年仍需进行多次大量维护。BIND可免费下载，但需要服务器（会产生额外成本，包括支持合同费用）和操作系统。此外，BIND通常只能扩展到每秒处理50,000个响应（RPS），因此容易受到正常和恶意DNS流量激增的影响。

应对不断变化的环境

F5 Intelligent DNS Scale参考架构提供了一种更智能的方式来响应DNS查询并扩展处理能力，同时综合考虑各种网络条件和情形，根据业务策略、数据中心状况、网络状况和应用性能来分配用户的应用请求和应用服务。

无需再担心DNS中断，也无需购买额外的DNS基础设施来应对流量激增。您可以在网络的DMZ中安装一台F5 BIG-IP设备，由其代替主DNS服务器处理请求。

按需扩展

BIG-IP DNS可实现超大规模扩展，达到每秒1亿次请求（RPS）。这意味着，即使DNS请求量激增（包括恶意请求），也不会中断内容服务或影响关键应用的可用性。网络管理员可以更加安心，因为即使遭受攻击，网站也能响应所有DNS查询并保持可用。这有助于保护品牌声誉，避免公司因服务中断登上新闻头条。

借助BIG-IP DNS提升可用性

F5 Intelligent DNS Scale参考架构有助于确保应用和内容持续可供用户访问。该架构的关键组成部分之一是BIG-IP DNS中专门设计的DNS Express查询响应功能。此功能通过将区域从主DNS服务器传输到自身RAM，来管理权威DNS查询。

只要请求的地址位于已传输到DNS Express的区域中，BIG-IP DNS就只需打开DNS查询数据包一次，从而简化处理流程，并显著提升DNS架构的性能和响应速度。

借助DNS Express，每台BIG-IP设备的单个核心每秒可响应约125,000至200,000个请求，并可扩展至每秒处理超过5,000万次查询，容量超过典型主DNS服务器的12倍。

BIG-IP平台：部署在DMZ中的防火墙

每台BIG-IP设备均通过ICSA Labs网络防火墙认证。BIG-IP设备可通过智能评估互联网主机的信誉，防止攻击者利用DNS DDoS攻击导致DNS离线、窃取数据、入侵企业资源或以其他方式中断业务。

此外，DNSSEC可保护包括云部署在内的DNS基础设施，使其免受缓存投毒攻击和域名劫持。借助DNSSEC支持，可以对DNS查询进行数字签名并提供加密响应，使解析器能够验证响应的真实性，从而防止DNS劫持和缓存投毒。F5 IP Intelligence服务会拒绝已知感染恶意软件、与恶意软件分发点通信或信誉不佳的IP地址访问，从而增强整体安全性。

网络边缘的DNS服务

F5 Intelligent DNS Scale参考架构从网络边缘而非关键基础设施深处响应DNS查询，也有助于保持内容和应用可用。将DNS响应卸载到BIG-IP平台后，请求不会到达网络后端，从而显著增强扩展和应对DNS流量激增的能力，同时保护DNS基础设施。

F5 Intelligent DNS Scale参考架构可提升DNS基础设施的速度、可用性、可扩展性和安全性，确保客户和员工能够在需要时访问关键的Web、应用和数据库服务。

分布式DNS

这也适用于DNS采用分布式架构的云部署或基础设施。组织几乎可以在任何环境中复制其高性能DNS基础设施。组织可以使用云DNS实现灾难恢复和业务连续性，甚至可以使用包含已签名DNSSEC区域的云DNS服务。F5 DNS Services增强了对AXFR的支持，可将区域从BIG-IP设备传输到任何DNS服务，使组织能够在物理、虚拟和云环境中复制DNS。DNS复制服务可发送到其他BIG-IP设备，也可发送到数据中心或云中距离用户最近的其他通用DNS服务器。

此外，组织可以将用户引导至能够提供良好体验的站点。BIG-IP DNS服务针对具体应用和用户采用多种负载均衡方法和智能监控。系统会根据业务策略以及当前的网络和用户状况路由流量。BIG-IP DNS服务包含准确、精细的地理位置数据库，可根据用户位置控制流量分配。

BIG-IP DNS和DNS服务

BIG-IP DNS是一款全球DNS解决方案，可在服务交付和接入网络的最边缘提供名称服务。借助地理位置服务，它可以根据用户的实际位置，将用户定向到更合适的服务交付数据中心。

BIG-IP DNS提供以下名称服务：

• 在网络边缘为所有内部和外部服务提供DNS服务。
• 地理定位服务可根据移动用户的位置，精准交付应用或服务。
• IP Intelligence服务通过检测并阻止与恶意活动相关的IP地址访问，保护基础设施。
• 通过单一控制点管理所有全局和本地名称服务。
• 其他BIG-IP智能服务解决方案，例如全球应用交付、策略实施、NAT64和DNS64转换、运行状况监控器，以及F5脚本语言iRules。
• 支持全局DNS服务
• 与DNS iRules集成，实现精细化DNS决策和名称服务交付。
• 支持服务提供商专用协议，例如用于SIP事务的ENUM请求。

BIG-IP LTM和DNS服务

在数据中心内，BIG-IP Local Traffic Manager (LTM)可通过构建从移动边缘到服务的容错架构，确保应用和内容保持高可用性。除了提供高可用性外，BIG-IP LTM还支持服务提供商特定的应用场景，例如对SIP事务的ENUM请求进行负载均衡。

BIG-IP LTM命名服务解决方案包括：

• 与BIG-IP DNS集成，将丰富的名称服务扩展到本地数据中心和服务网络。
• 支持本地DNS和递归DNS的负载均衡。
• 支持服务提供商专用协议，例如用于SIP事务的ENUM请求。
• 透明运行状况监控器可在将用户引导至服务之前评估服务运行状况。BIG-IP LTM可将运行状况信息传回BIG-IP DNS，使SDN边缘具备应用感知能力。
• 与iRules集成，实现精细化DNS决策和名称服务交付。

部署完整的服务交付基础设施

F5 Intelligent DNS Scale参考架构可适应高可用性和高流量应用，同时每秒支持数百万次用户请求。该架构与BIG-IP的其他服务交付功能协同工作，例如iRules脚本语言、透明应用监控以及其他IP相关服务，共同构建完整的服务交付基础设施：F5 Service Delivery Network。通过利用所有BIG-IP设备通用的智能服务交付平台，可实现无缝扩展和灵活性。

结论

通过采用F5 Intelligent DNS Scale参考架构，组织可以：

• 提高DNS基础设施的速度、可用性、可扩展性和安全性。
• 消除不必要的额外DNS服务器，降低复杂性和成本。
• 确保站点能够响应所有DNS请求，让您更安心。

F5 Intelligent DNS Scale参考架构是一套端到端DNS交付解决方案，可通过降低DNS延迟来提升Web性能，通过缓解DNS DDoS攻击来保护Web资产和品牌声誉，并通过整合DNS基础设施来降低数据中心成本。更重要的是，它可将客户引导至性能更优的组件，从而优化应用和服务交付。

F5 Intelligent DNS Scale参考架构还可让您更安心，因为您的Web应用能够响应所有DNS查询，确保用户无论何时何地需要访问，都能使用您的内容和应用。

发布于2018年1月24日