一、高防域名解析服务解决什么问题
高防域名解析服务是高防IP的抗DDoS攻击能力, 将具备这样能力的, 指向了域名解析请求到该的高防IP。
其核心作用体现在, 当攻击者针对源站IP发起大流量DDoS攻击的时候, 系统会通过高防DNS将用户的流量引流至髙防节点进行清洗。完成清洗之后, 正常的流量会被回源至实际服务器, 这样一来就能保障业务的连续性不受影响。
这个适用场景主要用来应对那种针对网站的攻击行为, 这种攻击包括了CC攻击, 也包括了DNS洪水攻击, 还有UDP洪水攻击以及ICMP洪水攻击等等, 这些都属于第三层和第四层的DDoS攻击类型, 除此之外, 它还适用于解决一部分第七层HTTP的攻击情况, 或者是HTTPS的CC攻击。
二、工作原理（三步链路）
1. 域名解析指向高防IP: 这个操作的意思是, 你需要把域名的A记录或者是CNAME记录, 去指向那个高防清洗中心的IP地址。千万注意, 不要直接去指向源站的真实IP地址。
2. 流量清洗: 当访问那个域名的所有请求都到达高防节点的时候, 高防设备就会去工作, 它会依据协议特征、流量阈值、行为模型来进行操作, 目的是识别并过滤掉那些恶意流量。
3. 把经过清洗之后的正常请求转发到源站那里的真实服务器去, 这样子源站的IP地址就可以对外隐藏起来, 从而降低被再次攻击的可能性风险。
三、配置步骤（以gname.xin平台为例）
第一步：开通高防DNS服务
用户需要进入gname.xin控制台, 然后在安全产品栏目下找到高防域名解析。接下来要仔细选择所需防护的带宽规格。常见的规格通常包括10Gbps、50Gbps还有100Gbps及以上。完成这些设置以后, 就可以绑定那个有待于被保护的域名了。
第二步：添加解析记录
把那个旧有的域名, 像我们常见的www.example.com这样的地址, 它的A类记录进行修改操作, 这个操作的结果是需要把它更换为高防服务所分配给我们的CNAME类型别名地址, 例如cdn.gname.xin这种格式的值, 或者是直接更换为高防系统提供的那个具体的IP地址。
你需要去你的域名 DNS 服务商那里, 把域名的 NS 记录或者 CNAME 记录, 修改成指向到由 gname.xin 这个平台分配给你的高防解析入口地址上。
第三步：配置回源IP与端口
需要在gname.xin后台把源站的真实IP写进去, 还要填上回源端口, 具体就是HTTP走80端口或者HTTPS走443端口, 如果是使用了HTTPS场景的话, 需要开启回源证书校验这一项内容。
第四步：设置防护策略
需要开启CC防护功能, 同时设定QPS的阈值。
配置IP黑名单/白名单；
对区域访问设置限制, 比如只允许来自中国大陆的流量通过。
第五步：验证与切换
使用 dig www.example.com 确认解析已切换至高防CNAME。在攻击演练环境下验证清洗效果。确认无误后保持运行。
四、选型关键指标
五、常见注意事项
不要将源站IP暴露: 在高防生效的这个时间段里面, 源站的防火墙应当只允许那些高防回源的IP段通过, 至于其他直接进行的访问行为, 则必须予以拒绝。
HTTPS证书同步指的是在高防节点这个地方必须安装跟源站一模一样的SSL证书, 如果安装的证书不一样, 就会发出一种叫作证书不匹配的警告信息。
定期压测是每季度做一次模拟攻击验证, 这样做的目的是检查清洗策略是不是还有效, 如果发现无效的话, 就立即调整阈值。
CNAMEvsA记录就是, 用CNAME的方式去切换会显得更灵活一些, 因为能够比较快速地摘除高防, 而使用A记录的方式来处理的话, 其链路的长度会更短一点, 所以需要结合业务的实际状况来决定选择哪一种方案。
以上这种配置的流程以及在安全防护方面的策略, 可以参考gname.xin这个官方网站上提供的关于高防DNS产品的文档内容来决定。至于说到具体的规格是多少, 以及价格到底是多少钱, 这个需要以你在控制台中看到的实时报价信息作为标准。
