Designing DNS for Availability and Resilience Against DDoS Attacks

Edge DNS 作为 Akamai 提供的权威 DNS 服务，专为应对 DDoS 攻击而设计，兼顾性能与可用性。其核心优势在于全球规模、分段 IP Anycast 架构和多样化 DDoS 控制措施。

架构特点：

• IP Anycast：部署在 1,000 多个入网点、超过 140 个城市的数千台名称服务器，通过 IP Anycast 模型将查询定向到最近节点，提升性能、可用性和规模。
• 分段 IP Anycast 云：将服务器分段到多个独立运行的云中，每个云包含专用名称服务器、入网点和网络容量，确保即使部分云受攻击，整体服务仍可用。
• 多样化部署：在不同网络、数据中心和 ISP 网络中部署名称服务器，增强网络多样性和抗攻击能力。

DDoS 控制措施：

• 规模优势：全球 1,000 多个入网点和数千台名称服务器提供充足的计算和内存资源。
• 速率限制：自动丢弃超过阈值的请求，防止资源被大量请求占用。
• DNS 白名单：限制请求发送到已知良好的 DNS 解析程序。
• 利用其他 Akamai 服务：从 CDN 借用容量，或通过 Prolexic DDoS 保护服务增强抗攻击能力。

容量与弹性：

• Akamai 保留大量可用容量，并可根据需要快速调整服务器用途。
• 通过与其他 Akamai 服务共享资源，Edge DNS 可有效应对大规模 DDoS 攻击。

部署选项：

• 传统辅助服务：作为辅助服务增强主要 DNS 解决方案。
• 隐藏的主服务：Edge DNS 作为辅助提供商，响应最终用户查询。
• 双重主服务：Edge DNS 作为主服务，并添加为权威 DNS。

结论： Edge DNS 通过多层可用性方法（全球规模、弹性架构、DDoS 控制措施和资源整合）为客户提供 100% 可用性，有效应对大规模 DDoS 攻击。无论是作为唯一权威 DNS 提供商还是辅助服务，Edge DNS 都能确保全球用户顺利访问在线业务。