全球共有13个根域名服务器，分别用字母A到M标识，由多个不同机构分散运营，日常访问的绝大多数域名解析都依赖它们完成第一跳查询。
根域名服务器有哪些
根域名服务器并非某个组织专用的设备，而是一个分层治理体系，目前互联网运行着13个根服务器标识，具体清单如下表所示（据IANA官网公开信息）：
| 根标识 | 运营机构 | 主要部署区域 |
|---|---|---|
| A | Verisign（威瑞信） | 美国 |
| B | USC-ISI（南加州大学信息科学研究所） | 美国 |
| C | Cogent Communications | 美国 |
| D | 马里兰大学 | 美国 |
| E | NASA（美国国家航空航天局） | 美国 |
| F | ISC（互联网系统联盟） | 美国 |
| G | 美国国防部网络信息中心 | 美国 |
| H | 美国陆军研究实验室 | 美国 |
| I | Netnod | 欧洲 |
| J | Verisign（威瑞信） | 美国 |
| K | RIPE NCC（欧洲网络协调中心） | 欧洲 |
| L | ICANN | 美国 |
| M | WIDE Project | 亚洲（日本） |
这13个根服务器标识并不直接保存你的域名对应IP，它们只回答一个问题：“.com的权威服务器在哪”，浏览器发起访问时,解析链条大致是这样的：
- 你的设备把域名查询请求发给运营商或公共DNS递归解析器。
- 递归解析器向某个根服务器询问顶级域的权威服务器地址。
- 根服务器返回
com或cn等顶级域的权威服务器列表。 - 递归解析器再逐级向下查询,最终拿到域名的IP地址。
整个过程中，根服务器只参与其中一环,但这一环是所有域名解析的起点。
根域名服务器有几个
这个问题要分两层回答：逻辑上有13个根标识，物理上却有上千个镜像节点。
为什么偏偏是13个？早期DNS报文设计时，一个UDP数据包需要装下完整的根服务器地址列表，受当时512字节报文大小限制，13个是能塞进报文的最优解，1997年前后根服务器体系基本定型,之后没有再增加A到M之外的字母标识。
后来互联网规模爆炸式增长，13台物理机器肯定扛不住全球流量，解决方案是anycast技术：每个根标识复制出大量镜像节点分布在全球，多个节点共享同一个IP地址，你访问那个IP时,路由器会自动把请求送达离你最近的那个节点。
根域名服务器有几个”的完整答案是13个标识，加上千个镜像运行节点,共同构成一套冗余的解析基础设施。
根域名服务器在中国吗
常有人问“中国有根域名服务器吗”，其实要在“逻辑根”和“镜像节点”之间做个区分，中国没有参与运营上述13个根标识中任何一个的原始母机,但国内部署了大量根服务器镜像节点。
镜像节点会把根区数据同步到本地，对外提供和根服务器完全一致的解析应答，近年来北京、上海、广州等主要城市陆续上线了多个根镜像，CNNIC运营着其中一部分（如F根镜像），中国电信、中国联通也参与过国内镜像节点的建设。
一个普遍误解是“没有根服务器就会被卡脖子”，这个说法在解析层面不成立，因为镜像节点的功能与主根基本无异，国内大部分DNS递归请求就近命中镜像，根本感觉不到“根在国外”，更关键的是，2016年10月1日，IANA职能移交完成，美国商务部把域名系统监督权交给了全球多利益相关方（据ICANN公告），行业共识认为，互联网根治理早已不是单一国家说了算,技术部署分布比物理位置更重要。
根域名服务器ip地址和解析过程
要自己验证根服务器的响应，不需要任何图形工具，一条dig命令就能看清楚全貌。
在终端里执行：
dig +trace example.com输出结果的第一段会显示根服务器信息，通常以结尾，这部分列出的就是A到M根服务器的真实地址，你可以看到类似41.0.4的IP,那是A根服务器的IPv4地址。
如果你想精确查询某个根服务器的状态,可以指定根标识发出请求：
dig @a.root-servers.net ns com这条命令直接问A根服务器：“com域的权威服务器是谁？”返回的答案列表就是全球com域的顶级服务器名单。
更直观的操作是用在线工具访问root-servers.net，网站公开了全部13个根标识的IP、IPv6地址和运行状态地图，日常排查DNS故障时，如果dig +trace卡在根查询环节不返回结果，说明本机到某个根镜像的网络链路出了问题，换个公共DNS（如8.8.8或114.114.114）再试,通常就能绕过故障路径。
根服务器和镜像站的区别
很多人会把“主根”和“镜像根”混为一谈，两者本质上服务内容一致,差异体现在数据来源和更新机制上。
- 主根（逻辑根）：13个根标识是根区数据的权威来源，根区文件由ICANN维护、Verisign负责发布。
- 镜像根：从主根同步完整根区数据，使用相同的anycast IP对外提供服务,用户访问时被自动调度到最近的镜像。
- 同步方式：镜像节点定期从根服务器拉取最新数据，经过DNSSEC签名验证后生效,保证数据篡改不了。
对普通用户来说，访问主根还是镜像完全无感，对网络架构来说，镜像站的意义在于分散流量压力，任何一个镜像宕机，其他节点和根服务器会立即承接解析请求,不会让全球解析瘫痪。
根服务器故障会怎样
根服务器被攻击时，短时间内确实可能出现解析异常，2016年10月，美国DNS服务商Dyn遭遇大规模DDoS攻击，导致美国东海岸大批网站无法访问，那次攻击并未直接针对根服务器体系,但暴露了基础设施的脆弱性。
但根服务器整体宕机的概率极低，业内专家指出，13个根标识背后的镜像节点分布极广，单一地区的网络中断无法影响全局，递归解析器本身也有缓存机制，即便根服务器短暂失联，本地缓存仍能在TTL时间内正常应答,多数用户不会感知到故障存在。
安全层面，根区文件已全面启用DNSSEC签名，解析器可以验证应答数据的真实性,伪造根服务器响应几乎不可能成功。
关于根域名服务器的常见问题
根域名服务器可以增加数量吗？
技术上增加标识并不复杂，但需要全球互联网治理体系内各方协商一致，现有13个标识配合镜像节点已经能支撑全球解析负载，扩容的新标识如果在治理和运维上无法达成共识,反而会增加系统风险。
个人电脑会直接访问根服务器吗？
不会，操作系统只向你配置的递归DNS发送查询请求，递归DNS负责与根服务器通信，如果递归服务器缓存中已有相关记录,本次查询甚至不会触达根服务器。
中国在根服务器治理中扮演什么角色？
中国深度参与ICANN政策制定，国内机构运营多个根镜像节点，同时推动下一代互联网地址体系建设，根服务器的最终协调权目前归属ICANN（据ICANN章程）,任何单一国家都没有独立控制权。
首发原创文章，作者：王坚，如若转载，请注明出处：https://idctop.com/article/786080.html
