借助混合架构增强DNS韧性与性能

F5生态系统 | 2024年6月21日

域名系统（DNS）通常被称为互联网的“电话簿”，可将便于人们识别的计算机主机名转换为IP地址。这项关键功能确保用户能够访问互联网应用和数字服务，是实现网络连接的重要基础。

近年来，基于DNS的攻击激增，并不断演变，利用DNS服务在可用性、稳定性方面的问题及其漏洞。根据F5 Labs的《2023年DDoS攻击趋势报告》，网络攻击者采用的方法日益复杂，使基于DNS的攻击成为一种持续存在的威胁，也是网络犯罪分子惯用的攻击类型。例如instance，2021年4月发生的一次大规模分布式拒绝服务（DDoS）攻击导致多项Microsoft云服务中断两小时，包括Xbox Live、Office、SharePoint Online、Teams和OneDrive。到2023年4月，一系列针对美国医疗保健网站的DNS不存在域名（NXDOMAIN）DDoS攻击使这些网站不堪重负。此次攻击造成网络拥塞，导致服务器无法响应有效的用户请求，凸显了混合网络亟需部署稳健且具备冗余能力的DNS系统。

鉴于DNS至关重要且云技术快速发展，组织需要选择合适的高可用性DNS解决方案，全面提升DNS韧性。

云服务优势显著，搭配本地部署的配套解决方案，效果更佳

基于云的DNS中断表明，即使采用冗余系统，云服务仍可能发生中断，DNS服务尤其如此。导致中断的因素多种多样，包括软件缺陷、配置错误、人为失误，以及电力或网络可达性问题。要确保系统持续运行并非易事。

随着DNS中断日益增多，各组织正在探索如何既利用云服务的敏捷性，又能在云服务中断时继续掌控可用性和安全性。

作为DNS服务的配套机制，全球服务器负载均衡（GSLB）是一种基于DNS协议构建的负载均衡机制，可增强多数据中心和多云环境的韧性。它利用服务资源洞察和DNS，根据业务及网络策略，在不同地理位置之间智能引导流量。为确保业务持续运行，组织正在积极探索适合这些紧密耦合的核心DNS服务和智能DNS服务的韧性设计。

借助基于F5的混合架构增强DNS韧性和性能

采用F5 Distributed Cloud Services提供的SaaS型DNS服务，并与本地部署的F5 BIG-IP DNS解决方案协同运行，可帮助组织增强弹性、敏捷性和DDoS缓解能力，同时提升全球扩展能力、性能和可用性。当本地部署与云端部署的解决方案相结合时，二者的优势将进一步叠加。借助BIG-IP DNS，用户可以利用自动化功能确保全面的安全性和可用性，还可使用隐藏主DNS记录以及授权激活本地DNS服务等附加功能。

借助此架构，组织可在正常运行期间使用F5 Distributed Cloud Services提供权威DNS服务，并可在需要时切换到本地部署的DNS服务，从而确保始终掌控其DNS基础设施。

在F5混合DNS架构中，Distributed Cloud DNS同时充当权威DNS和辅助DNS，并利用基于SaaS的容量和功能，例如：

多层安全防护：借助内置防护和自动故障转移功能，实现动态安全防护，防止DDoS攻击或域响应遭到篡改。
容量自动扩展：可在任何位置部署和支持应用。此DNS解决方案基于全球数据平面构建，可简化部署和管理，并自动扩展容量以满足大流量需求。
保持高可用性：基于全球任播网络，通过遍布全球各市场的接入点提供高可用、响应迅速的DNS服务。
快速部署和交付：使用一组API，几分钟内即可完成配置和预置。

在SaaS DNS服务因意外情况而不可用时，组织可以自动启用本地部署的BIG-IP DNS，确保DNS流量不中断。BIG-IP DNS提供以下强大功能：

每秒1亿次响应的性能：BIG-IP DNS使用DNS Express服务和Rapid Response Mode，将权威DNS扩展至每秒最多响应1亿次查询（RPS），确保用户连接到合适的站点。F5 DNS Express服务通过卸载DNS响应，将处理能力从每秒数十万次响应扩展至超过5,000万次，从而提升标准DNS功能。
DNS防火墙和DDoS防护：可与BIG-IP Advanced Firewall Manager (AFM)结合使用，提供广泛的安全防护，包括保护DNS免受UDP洪水攻击或放大式DDoS攻击等大流量DDoS攻击。
DNSSEC：通过实时域名系统安全扩展（DNSSEC），保护本地域名服务器免受缓存投毒和中间人攻击。
缓存整合：可将延迟和响应时间降低多达80%。
确保可用性的故障转移： 对整个数据中心或单个应用和服务器执行故障转移，确保用户可以不间断地访问所需应用。

此架构可满足DNS服务持续运行的需求，让数字化业务在利用云优势的同时保持在线。即使云服务离线，组织也能保持控制，避免陷入无法继续运营的困境。