2014n年1月21日全国大断网的分析

=================================================================
上面补充了一张图给不了解DNS工作原理的读者~~

15:20 接到一个CDN用户询问，只有一句话：节点挂了？我第一反应是curl测一下节点，咦连不上？再进行dig +trace，吓尿了……看图
w(ﾟДﾟ)w这是典型的*啊……我就回了句卧槽你被*照顾了？仔细一想，他就一个动漫论坛，不可能有这照顾啊，顺便下面放一张被*照顾的域名的DNS跟踪图，像这样就肯定是*干的好事了：

于是我联系了运维帮助协查，运维这一查艾玛吓尿了好吗，托管在我们DNS上的域名全部解析出来都是这鸟样……这不科学(╯‵□′)╯︵┻━┻难道我们被*照顾了？小心脏心跳速度骤增，这时候Q群消息变的多起来，咦百度打不开，QQ空间又挂了blablabla...

我再继续跟一下几个域名，我大概这辈子只能见到一次这样的trace图了：
百度和我自己的博客
我居然能和度娘在同机房！爽不爽！【群众：滚(╯—﹏—)╯（ ┷━━━┷

ovear君的截图，他使用的是TCP查询，TCP也被污染的话，你猜除了*还有谁能干？然后发现google家dns貌似是正常的~_~

与此同时运维也在各地的服务器上开始了跟踪查询，发现全国各地解析时间均为25ms左右。这时候结论就出来了。但是也许有人会说我的证据不够充分，那么我们再继续查查这个65.49.2.178是什么来头。

于是呢，我们在同C段的65.49.2.0/24查到了下面的网站：


关键词自己图里找

整理一下：

1. 低延迟说明全国各地（至少在省内或者附近，不会南方跨到北方）直接返回被劫持的IP；
2. TCP查询同样中枪，排除黑阔采用全国发UDP包方式进行劫持；
3. 同网段有那啥网站。

结论不写了。

================================================================
更新一下，有人问啥时候会恢复什么的。

劫持的影响大约只有15分钟。当时我查到的TTL是几万，也就是说，在电信运营商没对递归DNS手工刷新缓存的情况下，可能还需要间断受影响几个小时。不正常的可以试试更换DNS为8.8.8.8，或者等几小时再看看，后继影响略严重的样子