> 這個方法, 說白了就是做一台跟 root server 完全一樣內容, > 也完全一樣 ip-address 的 mirror root , 但使用 policy routing > 的技術, 使得某一區得到 routing information 使之對 root server > 的查詢走某台特定 router 與路徑到達某台 mirror root, 其它區則 > 是到另一台 router 走另一個路徑到另一台同 ip-address 的 mirror > root. 這是利用 router 當 switch 使某區用某一區的 mirror , 其 > 他區則用其他區的 mirror . 如果在使用 default route 的 dumb > area 單一出口處擺一台 root mirror , 那就用不到 source-ip 的分 > 區 check , 因此一般 router 就容易做到. =============================================================== F.root-servers.net 這台 DNS root mirror 肯開放到世界各地 表面上是 IETF/ICANN 放鬆 root server 管制, 但實質上是潛伏了一台 "監測器" 散布到各地, 同時把可以佔據 dumb area 出口的全仿冒 13 root mirror 給打出一個缺口, 如果 ISC 的 F.root-servers 的查詢訊 息量突然下降, 就可判定有 mirror cache 的可能性, 如果都從 mirror cache 集中來問, 那更是可判斷被攔截. 當然, 這個 F mirror root 依 舊是能被將計就計而破解, 只是難度就增加了. 最近冒出的 root serve 問題就是 IPV6 DNS root . DNS server 是 application program , 理論上與 IPV4 , IPV6 這類 TCP/IP 層是 無關的, 更何況 BIND DNS 有 source program 可以重新 compile/link, 就看是在那個 stack 上 link 就會有 V4 或 V6 的功能. 如果在一個裝 了 V4/V6 dual stack 的機器上, 新的 BIND DNS 加了 AAAA A6 這類RR 因此能回答詢問, 而且是不管詢問的 dns client 是用 V4 還是 V6. BIND DNS 能維持一統, 是在其程式當中崁進了 13 台 dns server 的 HINT table , 同時會透過 root server 的啟動向其他 root server 線上要求 root server NS RR , 這個特異功能用了一個固定長度的訊息 格式, 據估算最多只能再塞進 2 台 IPV6 的 ROOT NS 資訊. 若要修定這 個格式, 就要考慮回溯相容問題, 還要顧慮一大堆要求多散置 DNS root server 的問題. 最近這半年, 法國 IPV6 6-bone 實驗裝設了一台能讓純 V6 機器查詢的 V6 dual stack DNS root, 大陸也宣稱掌握了這個技術, 也做了類似實驗. 法國是用 alternative root 技術, 這方法類似 TANET 的 mirror root 形式, 有自己的 ip-address 以取代 13 台 root 的 ip address , 只是法國的 alternative root 是 dual stack , 有自己的V6 address 供純 V6 直接查詢. 現在最精彩的可能做法就是拿一台機器在 dumb area 出口做全仿冒 ip 的 anycast 13 台 root mirror, 同時也跑 v4/v6 dual stack 也有自 己的 V6 ip-address , 這台 V6 root dns 當然是要接到 V6 net 與 V6 tunnel 讓其他純 V6 機器來詢問. ICANN/IETF 現在也批准 13 台 root DNS server 的 V6 ip-address, 但還沒有實施 dual stack root server, hint table 是個檔案並沒有 13 台的限制問題, 但啟動一般 dns server 時, 會向已知的 root server 下 載 root NS RR 覆蓋, 這個 BIND DNS 自動臣服, 接受改造歸順的特異功 能目前無法在回溯相容下接納更多的 root server 資訊. 如果使用了 anycast partial root server , 例如 F root , 在 root server 的詢問中崁入一角, 就能藉之散布與核驗比對正宗的 hint table , 使得一般 BIND DNS 在判斷後, 自動將不符的 root DNS server 列為偽冒 server 而拒絕來往. -- ◎ Origin: 中央松濤站□bbs.ee.ncu.edu.tw From: 140.115.6.234