2014年1月22日星期三

黄祺:2014年1月21日全国DNS故障分析


网上各种谣言纷飞啊,目睹整个过程必需来说说。




(网络截图)


上面补充了一张图给不了解DNS工作原理的读者~~


15:20 接到一个CDN用户询问,只有一句话:节点挂了?我第一反应是curl测一下节点,咦连不上?再进行dig +trace,吓尿了……看图




(网络截图)


w(?Д?)w这是典型的墙啊……我就回了句卧槽你被墙照顾了?仔细一想,他就一个动漫论坛 ,不可能有这照顾啊,顺便下面放一张被墙照顾的域名的DNS跟踪图,像这样就肯定是墙干的好事了:




(网络截图)


于是我联系了运维帮助协查,运维这一查艾玛吓尿了好吗,托管在我们DNS上的域名全部解析出来都是这鸟样……这不科学 (╯`□')╯(┻━┻难道我们被*照顾了?小心脏心跳速度骤增,这时候Q群消息变的多起来,咦百度打不开,QQ空间又挂了blablabla…


我再继续跟一下几个域名,我大概这辈子只能见到一次这样的trace图了:

百度和我自己的博客




(网络截图)


我居然能和度娘在同机房!爽不爽!【群众:滚(╯—﹏—)╯( ┷━━━┷


ovear君的截图,他使用的是TCP查询,TCP也被污染的话,你猜除了*还有谁能干?然后发现google家dns貌似是正常的~_~




(网络截图)


与此同时运维也在各地的伺服器上开始了跟踪查询,发现全国各地解析时间均为25ms左右。这时候结论就出来了。但是也许有人会说我的证据不够充分,那么我们再继续查查这个65.49.2.178是什么来头。


于是呢,我们在同C段的65.49.2.0/24查到了下面的网站




(网络截图)


关键词自己图里找


整理一下:

低延迟说明全国各地(至少在省内或者附近,不会南方跨到北方)直接返回被劫持的IP;

TCP查询同样中枪,排除黑阔采用全国发UDP包方式进行劫持;

同网段有那啥网站。


结论不写了。


更新一下,有人问啥时候会恢复什么的。


劫持的影响大约只有15分钟。当时我查到的TTL是几万,也就是说,在电信运营商没对递归DNS手工刷新缓存的情况下,可能还需要间断受影响几个小时。不正常的可以试试更换DNS为8.8.8.8,或者等几小时再看看,后继影响略严重的样子=_=


文章 来源:知乎


Email订阅禁闻 来源:



本文标签:







via 中国禁闻 - 禁书网 » 中国禁闻 http://ift.tt/1mtXz19

没有评论:

发表评论