毛伟：打造下一代DNS，重塑网络根基

互联网域名系统国家地方联合工程研究中心（ZDNS）主任毛伟出席2022年下一代DNS发展论坛，并发表题为《打造下一代DNS，重塑网络根基》的主题演讲，以下为演讲内容：

DNS面临“三大挑战”、“两大机遇”

从互联网体系架构出发，可以简单地把互联网分为三层，即：物理设施层、基础资源层、应用层。

物理设施层是基础网络，犹如信息高速公路；应用层是互联网的各种应用，正如行驶在高速公路上的汽车。两层中间便是基础资源层，由域名系统和路由系统组成，二者组成互联网的寻址解析系统，可以比喻为导航系统，“导航”一旦失效就会断网。由于根服务器、顶级域名等互联网关键基础设施就在这一层，该层也被称作“网络根基”。

当前，DNS这一“导航系统”遇到三大挑战，同时也面临两大机遇。

三大挑战包括“断根”、“停服”、“断供”。“断根”是指国家域名被关停，拒绝中国用户对根服务器访问。“停服”是通过顶级域名管理权阻断我国机构域名的全球互联互通，例如，此前伊朗国家电视台就曾被美国政府“停服”。“断供”是指停止向我国提供域名基础软件和装备。

域名系统面临“三大挑战”，现状是：当前全球13台根服务器，主要位于美国、欧洲等国家和地区，在中国部署的都是镜像根服务器；全球约1500个顶级域名，中国境内拥有管理权的不足3%；我国运行域名系统软件及设备有数千万套，超过90%使用的都是国外域名软件。国际局势变幻莫测，DNS遇到的“三大挑战”不容忽视，中国需要更安全的网络根基。

这些问题，也已经引起国家层面的重视，《十三五国家信息化规划》（国发[2016] 73号）提出，“保障在根及重点顶级域服务系统异常状态下我国大陆境内域名服务体系的正常运行”“强化安全监管、综合防护的技术手段支撑，提升我国域名体系的网络安全和应急处置能力”。中共中央办公厅、国务院办公厅印发的《推进互联网协议第六版（IPv6）规模部署行动计划》中指出，“升级改造域名系统。加快互联网域名系统（DNS）的全面改造，构建域名注册、解析、管理全链条IPv6支持能力，开展面向IPv6的新型根域名服务体系的创新与试验”。工信部《“十四五”信息通信行业发展规划》和《“十四五”软件和信息技术服务业发展规划》也分别指出，“全面增强互联网基础管理，加强网络寻址管理，有序引入互联网域名根镜像服务器。”“着力增强大规模网络攻击防御能力，加强公共域名服务安全，保障能力建设，防范遏制重特大网络安全事件。”

在面临“三大挑战”的同时，处于“中间层”的DNS也迎来“上下所需”的两大机遇。

其一，信息网络基础设施升级，需要DNS“向下”对接升级。

《“十四五”数字经济发展规划》提出，稳步构建智能高效的融合基础设施，提升基础设施网络化、智能化、服务化、协同化水平，这些要求的实现离不开强有力的DNS底层支撑。一方面，以芯片、操作系统为主的基础硬件、基础软件等核心基础设施正处于信创升级阶段，DNS需要对接适配和升级改造；另一方面，网络技术升级发展，5G、IPv6、物联网、工业互联网、卫星互联网等部署推进，需要DNS同步升级。

其二，深化数字化转型、发展数字经济需要DNS技术“向上”创新突破。

我国在工业数字化、农业数字化、数字政府、数字金融、智慧能源、智慧城市等领域均已取得数字化建设的阶段性成果，数字技术全面融入百姓生活和我国经济建设。深化数字化转型、推动数字经济高质量发展，需要更智能的调度能力、更快速的网络感知能力、更安全的网络防护体系，尤其是大数据、人工智能、区块链等新一代信息技术的深化应用离不开强有力的DNS支撑。在各行业领域和智慧城市的整体建设过程中，也同样需要网络化、智能化“底座”，这些都需要DNS技术的创新突破。

为了应对断根、停服、断供三大挑战，以及迎接信息网络基础设施升级和发展数字经济两大机遇，需要下一代DNS，重塑网络根基。下一代DNS将从互联网“导航系统”发展成为支撑数字经济发展的重要网络根基，“向下”对接信息网络基础设施的升级，“向上”更好地支撑各行业数字化转型和数字经济发展。

从“DNS”到“下一代DNS”

关于下一代DNS的具体内涵，可以从三个维度来理解。

D（Domain）是网络空间，域名系统是互联网治理的重要抓手，是构建网络空间命运共同体的重要元素。

N（Name）是基础资源，域名以及IP地址、网络自治域号（AS号）等是互联网关键基础资源，是战略资源，没有互联网关键基础资源就无法联网。互联网关键基础资源的占有量和质可以衡量国家和企业的“网络规模”以及在全球互联网中的“管理权重”。

S（System）是软硬件系统，支撑了“D”和“N”，核心技术需要不断创新突破，以筑牢网络核心技术根基。

从D、N、S三个层面来讲，“下一代DNS”与“DNS”的具体区别是：

一、网络空间（“D”）。

以前互联网治理采用中心化技术结构、单边治理结构。下一代DNS推动去中心化模式，通过采用区块链技术、新型根技术等方案，推动根服务器的扩展和技术升级，实现网络空间的互联互通、共享共治，构建更加公平合理、开放包容、安全稳定、富有生机活力的网络空间。对于企业和机构而言，通过“D”，强调的是整体规划、统一标准，建立符合企业发展战略，规则清晰、流程明确的企业域名使用标准。

二、互联网关键基础资源（“N”）。

以前顶级域名主要分布在国外，重点顶级域名管理权由国外控制。“下一代DNS”一是要推动顶级域名申请，把握发展机遇，获得更多资源；二是要推动争取顶级域名的国内管理权：大力发展中国境内的顶级域名，重视顶级域名作为数字化转型重要载体的作用，重视其对数字经济发展的重要支撑作用。

三、域名系统技术（“S”）。

传统DNS只是负责简单解析，实现域名到IP地址的转换。下一代DNS除此之外，还将在数据赋能、全面感知、可靠传输、智能分析、精准决策等方面实现创新突破。通过自主技术、国密算法、威胁管控、数据可信、隐私保护等实现“更安全”；以高性能、低延迟、云化、弹性扩缩容、自动编排等特点实现“更高效”；通过大数据分析、智能枢纽、全局负载、算力调度等能力提升实现“更智能”。

“下一代DNS”与“DNS”的具体区别

综上所述，下一代DNS是：构建去中心化、互联互通、共享共治的网络空间命运共同体；自主可控掌握网络关键基础资源；面向数据赋能、全面感知、可靠传输、智能分析、精准决策，建设更安全、更高效、更智能的DNS，筑牢数字经济重要网络根基。

“下一代DNS”实现路径

“下一代DNS”的实现路径分为三个维度：

一、积极参与国际互联网治理和标准制定，为全球互联网发展贡献中国智慧。

中国机构尤其是互联网技术企业，应积极投身网络空间治理、参与标准制定，为全球互联网发展治理贡献中国智慧；积极“发出中国声音，给出中国方案”，推动“互联互通、共享共治”的理念在相关国际技术标准、管理规则中形成生动实践。

二、提升数字资产战略意识，助力企业品牌国际化。

提高互联网入口安全意识，筑牢网络基础设施，提升数字资产战略意识；为企业数字化转型以及品牌出海，筑牢网络根基。

三、解决“卡脖子”技术问题，实现互联网关键技术创新突破。

攻克互联网核心技术、关键技术，提升自主创新能力；从根本上为数字经济发展筑牢安全、高效、智能的网络根基。

中国需要积极参与全球互联网治理，有为才有位，通过参与互联网治理，要主动、合理表达诉求，为构建网络空间命运共同体做出中国贡献。目前，国内一些机构已经在积极参与，比如华为、清华大学、中国互联网络信息中心（CNNIC）、中国科学院计算机网络信息中心以及互联网域名系统国家地方联合工程研究中心（ZDNS）等，都积极参与了互联网标准和国际规则的制定。

在数字资产战略提升方面，中国机构应积极申请互联网顶级域名、IPv6地址和AS号，以掌握战略性数字资产。中国互联网发展的早期，中国一个国家的IP地址数量甚至比不上美国一所大学的数量，随着中国互联网的发展，目前中国IPv4和IPv6地址量均居全球第二位。但在域名资源尤其是顶级域名的占有率上，中国内地远远落后于一些发达国家。

在互联网关键技术能力创新方面，国内领先的域名系统技术公司针对关键技术进行了创新突破，比如域名系统基础软件“红枫”，以更安全、更高效、更智能的特点，能够全方位与国外主流DNS软件比肩，“红枫”在很多关键技术指标上已经远远超过国外同类软件，能够解决互联网基础软件“卡脖子”技术难题。

下一代DNS应用实践

如何理想打造“下一代DNS”，支撑数字经济的发展？“下一代DNS”能够为各行各业带来怎样的巨变？下面以金融行业银行的数字化转型为例进行分析。

大型银行业务遍布海内外，全球拥有上万家分支机构。随着全球数字化的发展，银行业务线上化、移动化、数字化、智能化特征明显，同时也正面临几个问题：首先，银行业务扩张阶段，各分支机构自建域名系统，不利于集团统一管理，并且存在网络安全隐患；其次，缺乏数字品牌资产意识，对互联网关键基础资源占有不足；业务线上化、多数据中心的情况下，保持业务连续性的需求日益凸显。

   下一代DNS提供全面的数字化转型解决方案：

（一）数字品牌。

通过“下一代DNS”建立银行数字品牌，这是全球统一的访问入口，采用顶级域名，简洁突出、易于传播，增强客户粘度。

（二）整体规划。

通过顶级域名的使用，无论是手机银行业务还是理财系统都从原来的分散域名，实现集中纳管，由总行统一规划、统管统建；通过域名化改造推动数字化转型；并实现标准化管理：包括各地分支、各业务系统域名命名规则、域名申请、域名回收、域名审批等。

（三）数据赋能。

“下一代DNS”汲取数据赋能能力，让DNS更加智能。域名系统结合各种数据实现能力全面提升。“向下”结合网络延迟数据、抖动数据，“向上”结合业务健康数据，对比历史基线数据，通过上述数据要素的融合，让DNS更加智能。

（四）全面感知。

“下一代DNS”所具备的全面感知能力，主要体现在秒级感知网络、秒级感知应用、秒级感知威胁上。通过DNS的全面感知能力，实时获取包括网络、业务在内的运行动态、网络威胁等，并作为各种分析决策的依据。

（五）可靠传输。

域名系统存在大量的核心系统数据，作为网络第一入口，域名系统不能被攻击，要防止非法的域名连接，全面保障数据安全。下一代DNS具备多种攻击防护策略，100%拦截非法外联域名，实现DOH解析“0”劫持。

（六）智能分析。

“下一代DNS”具备智能分析能力，并可通过可视化呈现结果，为银行业务访问状况实现全景画像，直观呈现对解析成功率、解析延迟的分析等，并通过分析结论提前预知风险。

（七）精准决策。

“下一代DNS”可以云化弹性部署、算力动态分配，万条变更秒级生效、自动编排，使得单节点应对百万QPS（每秒查询率），通过流量调度实现GSLB（全局负载均衡），帮助银行业务系统更加高效运行。

（八）自主技术。

以上功能均建立在国有自主技术基础之上，自主可控的域名系统技术与国产CPU、国产OS适配，并与国密算法、新型根服务器结合，推动互联网基础技术创新升级。

下一代DNS，筑牢数字经济重要网络根基

互联网发展至今，域名系统已经超越原来简单的解析功能，成为涵盖网络空间、关键基础资源、软硬件系统在内的支撑全球互联互通、共享共治的重要基石。在当前国际形势、技术进步、数字经济发展的大势下，我们要抓住机遇打造下一代DNS，全面重塑网络根基，让下一代DNS成为支撑数字经济发展的重要网络根基。

希望中国的企业和机构，认识并参与到“下一代DNS”的应用实践中，如何参与？依然从D、N、S三个方面出发。

一、网络空间（“D”）。

面向“技术标准”和“治理体系”构建网络空间命运共同体，广泛参与域名系统生态国际机构（ICANN、IETF等 ）的社群工作，做到“有贡献、有声音、有地位”。

二、互联网关键基础资源（“N”）。

关键基础资源的占有量和质可以衡量国家和企业的“网络规模”以及在全球互联网中的“管理权重”。在大国博弈的背景下，倡导使用由我国管理的国家顶级域名.CN；积极推动普及中文域名应用，彰显中华文化；鼓励有条件的企业抓住开放机遇，申请新顶级域名（New gTLD）。

三、域名系统技术（“S”）。

核心是软硬件技术及解决方案。推动在信创生态体系下，与国产芯片、操作系统等广泛适配；要支持包括“红枫”系统在内的优秀自主域名基础软件持续创新和应用；以更安全、更高效、更智能的下一代DNS，支撑我国数字经济高质量发展。

从传统解析到下一代DNS，丰富了互联网技术治理内涵，也通过自主技术服务于数字经济高质量发展。需求牵引技术进步，把中国的网络问题解决了，就能够引领世界，为国际互联网大家庭作出贡献。