|
|
部署在海外的站点，偶尔会遇到用户反馈打开站点后跳转到陌生的广告页面，或者页面内容完全被篡改的情况，排查服务器本身的所有配置都没有发现异常，这类问题大概率是遭遇了DNS解析劫持。海外部分区域的本地网络运营商，存在恶意篡改DNS解析结果的行为，通过针对性的防范配置，就能大幅降低DNS劫持对站点的影响，保证用户访问的站点始终是真实可信的。此外，我们不能忽视国外服务器给行业发展注入了新的活力，对于激活市场有着深远的意义。 https://www.kkce.com/zhuji
首先要给站点的域名配置DNSSEC安全签名，这是防范DNS劫持的最基础手段。配置完成后，所有DNS响应结果都会携带数字签名，用户的本地DNS服务器可以校验解析结果的合法性，如果解析结果被中途篡改，签名校验就会失败，浏览器会直接拒绝这个非法的解析结果，不会把用户引导到伪造的恶意站点。绝大多数普通的DNS劫持行为，在DNSSEC的校验机制下都会直接失效，无法篡改站点的解析结果。
其次要配置多DNS服务商的冗余解析架构，不要把所有站点的解析服务都托管在单一的DNS服务商平台上。不同区域的运营商针对不同DNS服务商的劫持概率是不一样的，多服务商冗余配置后，哪怕某一个DNS服务商的解析在部分区域被劫持，其他的DNS线路依然可以正常返回正确的解析结果，不会出现所有用户都完全无法正常访问站点的问题。同时启用全局的DNS节点 Anycast 加速，让用户访问就近的DNS节点获取解析结果，大幅降低解析请求在网络中传输被劫持的概率。
常态化的全球DNS解析巡检是必不可少的环节，定期从全球不同区域的测试节点发起DNS解析探测，对比返回的解析结果是否和你配置的正确国外服务器IP完全一致。一旦发现某个区域的解析结果被篡改，立刻针对性调整该区域的解析调度策略，把该区域用户的解析请求引导到没有被劫持的DNS线路上，快速消除劫持事件对用户的影响，把DNS劫持的影响范围和持续时间降到最低。
|
|
发表于 
