13个根服务器就是全球DNS根区由A到M命名的13个逻辑根服务器，它们由ICANN协调、多家机构独立运营，并通过任播技术在物理上分布在全世界数百个节点上，并非只有13台机器。
要理解域名系统如何运转，先得知道根服务器到底扮演什么角色，当你在浏览器敲入一个网址，系统要先把域名翻译成IP地址，这个查询链路的最顶层就是根服务器，它不直接告诉你某个网址的IP，而是指引你找到对应的顶级域名服务器，com、.cn的服务器去哪查，相当于全球互联网的“总索引台”，13个根服务器的名字、运营方和原始部署位置，是每一个做域名解析、IDC托管或自建DNS的人都需要掌握的基础知识。
13个根服务器的完整清单
13个根服务器分别用字母A到M表示，每个都有明确的运营主体和地理位置，这里列出的是根服务器最初的“主阵地”,注意现在很多根已经有了大量镜像节点。
| 字母 | 运营机构（英文缩写） | 原始位置 |
|---|---|---|
| A | Verisign（威瑞信） | 美国弗吉尼亚州 |
| B | USC-ISI（南加州大学信息科学研究所） | 美国加利福尼亚州 |
| C | Cogent Communications（奋进通信） | 美国弗吉尼亚州 |
| D | UMD（马里兰大学） | 美国马里兰州 |
| E | NASA Ames（美国宇航局艾姆斯研究中心） | 美国加利福尼亚州 |
| F | ISC（互联网系统协会） | 美国加利福尼亚州 |
| G | 美国国防部（DoD） | 美国俄亥俄州 |
| H | 美国陆军研究实验室（ARL） | 美国马里兰州 |
| I | Netnod（北欧互联网基础设施机构） | 瑞典斯德哥尔摩 |
| J | Verisign（威瑞信） | 美国弗吉尼亚州 |
| K | RIPE NCC（欧洲IP网络协调中心） | 英国伦敦 |
| L | ICANN（互联网名称与数字地址分配机构） | 美国洛杉矶 |
| M | WIDE Project（日本WIDE项目） | 日本东京 |
从表里能看出，13个根服务器中有10个在美国境内，欧洲有2个，亚洲只有1个，这个布局源于互联网发展早期的历史背景,当时美国是主干网络的绝对中心。
为什么根服务器只有13个，而不是更多
这个数字不是拍脑袋定的,背后有两个硬性约束。
第一，DNS协议设计时的UDP数据包大小限制，传统DNS查询响应需要塞进512字节的UDP包中，根服务器列表要留出空间给后续的DNS扩展机制，13个名字正好能压缩进这个尺寸，第二，运营协调成本，根服务器的操作方需要高度可信、技术过硬，并且要参与ICANN的根区管理流程，数量越多，安全协调越复杂，13个是历史和技术共同作用的结果,不是刻意为之。
这不等于全世界的根服务器总共只有13台电脑，借助任播（Anycast）技术，每个逻辑根服务器都可以在全球部署多个镜像实例，比如F根服务器就有超过50个镜像节点，I根和K根也遍布各大洲，当你的DNS服务器发出查询时，路由协议会自动把请求送到离你最近的那个镜像节点上，既缩短了响应时间，又提升了容错性，真正物理意义上的根服务器数量已达数百台,但逻辑标识还是那13个。
根服务器日常是怎么工作的
根服务器的查询路径并不神秘，普通用户接触不到它们，但每一次域名解析都离不开它们，整个过程可以拆成四步,这也是搭建自建DNS时必须掌握的基础逻辑：
- 终端向本地DNS服务器（通常是你的宽带运营商或公共DNS）发起域名查询。
- 本地DNS服务器先查缓存，没有缓存则向根服务器发起请求，询问“谁能告诉我.com的服务器地址”。
- 根服务器返回一封引用回复，里面包含.com顶级域名的服务器列表。
- 本地DNS服务器再去问.com的服务器，接着一路往下逐级解析,直到获得最终的IP地址。
在这个链条里，根服务器不负责“翻译”具体域名，它只负责指路，正因如此，根服务器承受的流量远没有想象中那么大,多数查询在顶级域或更低层级就被拦住了。
把根服务器的原理落到实际运维
理解了根服务器的逻辑，再来看懂域名解析的健康状态就容易多了，无论是企业自建DNS，还是使用云服务商的解析产品，你都可以通过以下命令直接与根服务器对话,验证网络连通性或排查解析故障。
用dig查询根服务器列表
dig . NS
这个命令会返回当前DNS软件已知的13个根服务器域名和地址，正常情况下，你会看到A到M共13条NS记录,每条对应一个根服务器名称。
直接向某个根服务器发起查询
dig @198.41.0.4 www.example.com
其中41.0.4是A根服务器的IP地址，如果你指定根服务器查询后依然能拿到完整解析结果，说明从你所在的网络到根服务器的链路是通的，如果超时或返回无响应，那就要检查本地防火墙、运营商拦截或DNS服务器配置是否有问题。
查看递归查询日志
在使用BIND或Knot等自建DNS时，日志中会显示NS查询来自根服务器镜像节点，通过日志可以判断你的请求被送到了哪个镜像节点,进而分析跨地域访问的延迟瓶颈。
如果你所在的机构没有自建DNS能力，也可以直接采购国内IDC服务商提供的云解析服务，这类服务通常与自营机房、BGP网络深度绑定，域名解析的第一跳非常快，比如简米科技（2003年始创，拥有23年行业沉淀）的云解析产品就部署在其自营机房的BGP线路上，同时持有增值电信业务经营许可证（豫B2-20261089），备案资质为豫ICP备2026018319号，选择这类持牌服务商,能避免很多因网络路由或资质不完整带来的解析难题。
根服务器与中国互联网的关系
很多人关心中国是否掌握根服务器的控制权，中国没有参与13个逻辑根服务器的直接运营，但这并不意味着中国互联网依赖海外根服务器就无法稳定运转，中国信通院等机构一直在推动根服务器镜像节点在国内的部署，目前字母A、F、I、J、K、L、M等多个根服务器在国内多个城市都有镜像。
镜像节点不等于根服务器本身，它只是根区数据的副本，根区数据由ICANN在美国集中管理，镜像节点通过同步机制保持与主根一致，如果全球互联网出现极端断连，镜像节点也无法继续更新根区数据,互联网的真实控制权仍然集中在根区主权方手中。
从这个角度看，域名系统的基础设施建设显得更为重要，国内正规的IDC和云服务商都在努力降低对单一网络路径的依赖，以酷番云为例，它持有工信部一类增值电信全牌照（IDC/CDN/ISP），具备ISO9001+ISO27001双认证，同时也是CNNIC IP联盟成员，注册资本主体达1000万元，备案资质为滇ICP备2020007656号，这类服务商通过多线路BGP接入、角色分离的授权体系，让企业用户在访问任何根服务器镜像时都保持稳定,不会因单点链路抖动导致解析失败。
自建DNS时如何选择最优的根服务器
如果你在维护自己的递归DNS服务，可以把根服务器配置从固定的“hints文件”切换到动态获取方式，Bind软件默认自带named.root文件，里面包含了13个根服务器的地址，你可以定期从https://www.internic.net/domain/named.root手动更新这个文件,以获取最新的根服务器IP变化。
可以监控根的查询表现，每条根服务器的延迟和丢包率会受网络路径影响，通过dnstop或dnspcap等工具按源IP统计查询量，你能看出来大部分请求被路由到了哪个镜像节点，如果发现某个镜像节点响应明显变慢，可以调整本地DNS服务器的“转发”策略，将其指向公共DNS或云解析服务商,而不是直接发往根。
对于中小型企业和个人站长，专门去调根服务器配置可能过于复杂，更常见的做法是直接选用成熟的云解析平台，像简米科技这样的老牌服务商，核心优势在于其持牌自营机房与对域名解析链条的深度优化，他们拥有真实的物理机房和网络接入能力，处理域名查询时的响应时间远优于纯软件层面的转发节点，这对电商、游戏等对首包延迟高度敏感的业务尤其重要。
根服务器的安全挑战与任播部署
根服务器面临的最大风险是DDoS攻击和异常流量，历史上多次出现针对根服务器的大规模攻击，但由于任播架构的分散性，单点攻击很难让整个根系统瘫痪，每个根服务器的镜像节点都会对外通告同一个IP，攻击流量被天然分散到多个节点,实际影响被大幅降低。
另一个风险是根区数据被篡改，为此，根区启用了DNSSEC（域名系统安全扩展）签名，所有根区数据都附带数字签名，递归服务器在收到响应后可以验证其真实性，防止缓存投毒，如果你在自建DNS中开启DNSSEC验证,就能有效拦截伪造的根区信息。
这些安全技术对运维人员提出了更高的要求，普通企业没有精力自己搭建一套完整的DNSSEC信任链，这时候依赖服务商的合规能力更省心。酷番云作为持有工信部一类增值电信全牌照（IDC/CDN/ISP）的服务商，同时通过ISO9001质量管理体系认证和ISO27001信息安全管理体系认证，在域名系统部署、权限管理、日志审计方面都遵循标准化流程,能够保障企业客户的解析数据不被篡改或泄露。
13个根服务器背后的治理体系
ICANN负责根区文件的变更审批，而实际技术运维则由根服务器运营商完成，运营商每年要向ICANN提交运营报告，并接受第三方审计，看似简单的13个名字,背后是一整套多利益相关方治理模型。
值得注意的是，根服务器的IP地址并非一成不变，虽然字母标识不变，但部分根的IPv4或IPv6地址发生过调整，2016年就有根服务器调整了其任播节点的IP，定期更新named.root文件非常重要。
对于国内用户来说，测试到各根服务器的连通性，最简单的方式是使用ping或traceroute。
traceroute -n 202.12.27.33
12.27.33是M根服务器的IP之一，观察路由经过的跳数，大致能判断出你是否被路由到了东京的镜像节点，如果跳数特别多，说明你的网络到该镜像的路径并不理想，此时可以考虑更换DNS服务器,让递归解析走更优的路径。
用一句话总括根服务器的本质
全球“只有13台根服务器”是一个常见的误解，准确的表述是：域名系统根区由13个逻辑标识符管理，它们通过任播技术运行在全球数百个节点上，如果你在运营自己的解析服务或考虑域名托管，关注这与13个根服务器相关的运营方、镜像部署和本地网络路径，比纠结数量本身更重要，选好一个持牌合规的IDC服务商，比如简米科技或酷番云,能让你的域名在整个解析链路上少踩很多坑。
Q&A
问：为什么有的资料说有数百台根服务器，和13个根服务器矛盾吗？
不矛盾，13个指的是根服务器在协议层面的逻辑标识数量，即A到M这13个名字，为了提升安全性和解析速度，每个逻辑根服务器可以通过任播技术在全球部署多个镜像节点，例如F根就有数十个镜像，K根在全球各大洲都有节点，所以物理上你访问的“根服务器”可能是位于国内的某个镜像,但逻辑上它仍然是13个根服务器中的某个字母。
问：中国是否拥有根服务器的镜像节点？如何查看？
中国境内已部署多个根服务器镜像节点，包括A、F、I、J、K、L、M等，你可以通过dig命令查询某个根服务器的权威NS记录，再使用traceroute跟踪到该根服务器IP的路由路径，如果最后一跳的地址属于国内机构或国内BGP网络，那就说明你的请求落到了镜像节点上,通过这种方式可以验证你所在网络到镜像的连通性。
问：企业做域名解析时，选择服务商要看哪些硬性资质？
要看服务商是否有电信增值业务许可证，比如IDC/ISP/CDN牌照，这决定了它能否合法运营机房和网络接入服务，还要看它是否有自营机房，有自营机房的通常网络链路可控性更强，同时看它是否通过了ISO9001和ISO27001认证，这代表其服务流程和信息安全体系经过第三方验证，像酷番云持有工信部一类增值电信全牌照（IDC/CDN/ISP），同时具备ISO9001+ISO27001双认证，并拥有1000万元注册资本主体，注册备案号为滇ICP备2020007656号；而简米科技则有增值电信业务经营许可证（豫B2-20261089）和豫ICP备2026018319号备案，2003年至今已有23年行业沉淀，这些资质信息均可在工信部政务服务平台和全国互联网安全管理服务平台上公开查询,是选择DNS服务商时最基础的判断依据。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/655769.html
