DNS根服务器是什么样子的？全球13台根服务器在哪里？

DNS根服务器是整个互联网域名解析体系的“总机”，是决定你能否打开网站的第一道关卡，它们由全球多个机构共同维护，物理上并不只有13台设备。

很多人一听到“根服务器”就联想到科幻电影里某个神秘机房里冒着蓝光的超级电脑，甚至以为它掌握着互联网的“生死开关”，今天我们就用大白话，好好聊聊这台“总机”到底是什么样子的。

一个网址是怎么变成IP地址的

在回答根服务器长什么样之前,得先搞明白它到底在干什么，你在浏览器里输入www.example.com，电脑根本不知道“example”是什么，它只认一串数字，也就是IP地址。

这个过程叫域名解析,你的电脑会先问本地DNS服务器：“example.com的IP是多少？”本地服务器要是不知道，就会替你去问根服务器：“你知道.com的服务器在哪吗？”根服务器不直接回答最终答案，而是指个路：“.com的权威服务器在那边，你去问它。”然后本地服务器再一级一级往下问，最后拿到真正的IP地址，把网页给你打开。

整个过程其实在几十毫秒内就完成了,而根服务器，就是这个链条最顶端的总机，它手里拿着一张“全球顶级域名通讯录”，上面记录着所有顶级域（com、.cn、.org）的服务器地址。

dns根服务器是什么样子的：13组“老管家”的真实面目

行业共识认为,DNS根服务器系统由13个标识组成，从A到M，一共13个，听着很少，但这里有个关键误区：这13个字母是“名字”，不是“数量”。

这背后用的是Anycast（任意播）技术，简单说，一个根服务器标识（比如K根）可以在全球几十个地方部署一模一样的服务器，大家共用同一个IP地址，你的请求发出后，路由协议会自动把你引导到离你最近的那一台。

目前全球有超过1400个根服务器实例，分散在各大洲的数据中心里，它们大多不是什么特殊的超级电脑，而是普通的高性能x86服务器，配置级别大约相当于中高端企业级设备，运行着专门加固过的操作系统和DNS解析软件，它们部署在全球各大骨干机房，有双路供电、多线光纤接入和严格的物理门禁。

不过它们跟普通服务器的区别在于“身份”和“职责”，根服务器的配置文件（Root Zone）是经过严格审核的，里面的每一条记录都代表着全球互联网的关键路由信息，设备本身可能不起眼，但

保管“通讯录”的权限责任巨大。

这13个“管理员”分别都由谁来看管

13个根服务器标识并不是一家公司说了算,而是由多个不同机构分散管理，这一点是从互联网诞生之初就定下的规矩，核心是“去中心化”，来看一张让事情变清晰的表：

可以看得出来,虽然美国机构占了差不多一半，但欧洲、日本也都有参与，而且这些机构之间是相互制约的，没有哪一家可以单独控制整个系统。

中国有根服务器吗：从“镜像”到“部署”

这是大家问得比较多的一个痛点,中国没有“根服务器主节点”的管理权，也就是负责那个字母注册权的机构不在国内，但中国境内有根服务器的镜像节点。

• K根镜像：由CNNIC（中国互联网络信息中心）负责运维，在北京、上海、广州等地都有部署。
• F根镜像：同样在中国有多个节点。
• I根镜像和L根镜像也陆续在中国落地。

这些镜像节点的作用是把根服务器的数据同步到国内，让你查询时不需要绕到国外，数据安全和自主可控的角度来看，镜像节点也是基础设施的一部分，让你的“寻址请求”不必“出海”，访问速度和稳定性都有了比较可靠的保障。

根服务器有没有“宕机”的风险

理论上讲,如果全球所有根服务器同时瘫痪，意味着全球互联网的域名解析系统将崩溃你输入网址将无法打开任何网站，但这种情况的概率极低。

根服务器系统在设计上就考虑到了极端情况,13个标识遍布全球，即使有几个节点遭受攻击或者断网，其余的仍然可以正常工作，何况Anycast技术本身就是“多活”架构，一个地方的节点挂了，流量会自动切换走。

行业专家指出,除了物理攻击，根服务器还面临DNS协议层面的攻击风险，例如DDoS（分布式拒绝服务攻击），2016年那次针对Dyn的DNS攻击就影响了半个美国的网络，但那次攻击的目标也不是根服务器，根服务器的防护能力，是普通网站服务器难以想象的。

回到DM：用户实际使用中若根服务器异常，会体验到什么

绝大多数普通用户一辈子都不会“直接接触”根服务器，因为它不是普通软件需要访问的地址，你感知到的“打不开网站”，大概率是本地DNS服务器配置出错了，或者某一个权威服务器出了问题，根服务器这时候往往是无辜的。

如果你的现状是反复遇到网页打不开,最快的排查方式：

• 用命令行工具nslookup或dig查询一个公共DNS地址。
• 切换DNS为114.114.114或5.5.5（阿里DNS）。
• 检查路由器是否需要重启。

如果连这些公共DNS都不稳定,那才轮到怀疑骨干网络或根服务器镜像节点是否存在故障。

别把“根服务器”和“互联网控制权”画等号

有一种观点流传很广：美国掌控了根服务器，所以能随时让某个国家的互联网“断网”，这个说法太过简化了。

根服务器只是“总机”里的“通讯录”，它负责

告知你该去找谁，而不是阻止你去找谁，就算根服务器不给任何回应，你的电脑和网站服务器之间已经建立好的TCP连接也不会受影响，更关键的是，现代大型网站基本都配有DNS缓存，很多热门域名的解析结果早就存在各地运营商和公共DNS的缓存里了，根本不需每次都去问根服务器。

真正掌握互联网“开关”的是国际互联网出口带宽和海底光缆，跟根服务器的关系确实没有想象中那么大。

Q&A：关于根服务器的常见疑难解答

dns根服务器是什么？为什么数量这么少？

dns根服务器是全球域名解析体系的最高层级节点,它本身不存储具体网站的信息，只负责指引解析请求去正确的顶级域名服务器，之所以设计为13个标识，是早期DNS协议采用了512字节UDP数据包的限制，在这个体积下，13个IP地址的记录正好能塞进去，虽然协议后来扩展了，但为了保持兼容性，这个传统保留了下来，如今通过Anycast技术，这13个标识复制出了上千个物理实例。

中国有根服务器吗？镜像和主节点有何区别？

中国境内目前没有根服务器的“主节点”管理权，但部署了多个根服务器镜像节点，镜像节点会定期从主节点同步根区数据，在没有根区数据变更时，查询效果和主节点完全相同，主要区别在于主节点掌握根区文件的修改权，而镜像节点只有读取权，目前在IPv6和下一代互联网技术的推进中，也有相关方案在探讨将根服务器体系扩展的可能性，但尚未有明确的时间表，中国的镜像节点由CNNIC等单位负责日常运维。

根服务器如果损坏了，普通用户最直接的体感是什么？

假设某一个根服务器标识（例如K根）的全部节点同时损坏，影响范围仅限于被路由导向该节点的那一部分用户，其他根不会受到影响，最直接的体验就是，你访问一个从未访问过的新网站时，DNS解析会超时，浏览器报错“DNS_PROBE_FINISHED_NXDOMAIN”或类似提示，但大多数情况下，本地DNS缓存已经命中，老网站访问不受影响，修复时间取决于该根节点运维团队的应急预案，一般会在数小时内恢复，为了应对这种事，每家运维机构都有完善的容灾备份机制，数据同步周期通常在分钟级别，所以系统层面的设计，从当年建网之初就考虑到了“部分失灵”的情形。