以下為Paul Mockapetris現(xiàn)場演講實錄整理：

時間：2022-03-22 17:15:01 | 來源：行業(yè)動態(tài)

時間：2022-03-22 17:15:01 來源：行業(yè)動態(tài)

非常感謝，我非常高興能夠聽到IPv6在中國的發(fā)展，包括ITF主席，我們在最初選擇IPv6的時候，也意識到這個過程將是一個非常長遠(yuǎn)的道路，對于來的網(wǎng)絡(luò)應(yīng)用而言，這是一個非常重要的資源。

大家可以看到我的PPT，我主要是做命名技術(shù)，尤其是IPv6網(wǎng)絡(luò)地址的命名技術(shù)，除此之外我也做了很多其他方面的研究，我相信各位在這些領(lǐng)域都是專家。今天我希望給大家講一講命名技術(shù)，主要有三大定律來推動網(wǎng)絡(luò)發(fā)展，首先是網(wǎng)絡(luò)效應(yīng)，生成技術(shù)，這種技術(shù)可以反復(fù)地應(yīng)用來創(chuàng)造出新的事物，人們經(jīng)常會問我，當(dāng)我發(fā)明NDS的時候，我對NDS的設(shè)計是什么？如果我當(dāng)時設(shè)計的它的目的不會是一個好技術(shù)了，因為我們不應(yīng)該在最開始設(shè)定好它的用途是什么，如果我們想想一個網(wǎng)絡(luò)有兩個大的問題：

第一個是如何去確保它的可擴(kuò)展性，這個擴(kuò)展可以是指時間、容量、支持的功能，我們希望這些軟件、技術(shù)都沒有任何的邊界性。

第二大挑戰(zhàn)是，比第一個問題還難，聯(lián)盟的問題，DNS在這方面做的不錯，我們能夠讓不同的各方管理自己的域名，命名是各方在網(wǎng)絡(luò)技術(shù)之下合作的非常重要的要素。

如果大家看一下，其他內(nèi)容網(wǎng)絡(luò)，有的看到這些命名還有一些網(wǎng)絡(luò)的地址，他們現(xiàn)在已經(jīng)沒有使用了，我想這是一個非常重要的技。分配體體一共有三個組成部分，我選擇了三個物品，一個是軟件，一個是硬件，另外是配置這三方面。首先看一下硬件，大家希望它越新鮮越好，在軟件方面時間越長越好，我們在涉及軟件的時候，我們并不希望速度那么快，就像IPv6一樣需要一些時間去演進(jìn)，這樣我們看到甚至有的時候需要20年才發(fā)展的好，問題在于我們希望這些像軟件的事物能夠像紅酒一樣，隨著時間增加它們的價值，最終把這些結(jié)合在一起是配置，我們需要通過配置來把這些結(jié)合在一起。只有有了配置，我們才能夠把不同的資源，包括軟件資源和硬件的資源能夠結(jié)合在一起，DNS就是這樣一個應(yīng)用，當(dāng)然SDN也是如此，軟件網(wǎng)絡(luò)也是如此。

我想SDN也不是什么新的事物，因為軟件一直能夠定義網(wǎng)絡(luò)，比如思科公司的例子也是如此。SDN這方面首先我們也需要考慮可擴(kuò)展性，還有如何把不同的廠商湊在一起進(jìn)行合作，這個其實比擴(kuò)展還要困難。我們也非常關(guān)注命名和DNS方面的靈活性，比如配置的靈活性，比如有人說我去了思科的網(wǎng)站，或者我自己的公司的網(wǎng)站，我看到我網(wǎng)站的整個設(shè)置和架構(gòu)，其實很多的關(guān)鍵技術(shù)信息，有的時候我們會發(fā)現(xiàn)這些公司已經(jīng)不再自己分配自己網(wǎng)絡(luò)的內(nèi)容，會轉(zhuǎn)而讓其他各方進(jìn)行內(nèi)容的分配。從IPv4到IPv6的演進(jìn)過程，我們在命名方面看，可以把不同層次的不同內(nèi)容來添加進(jìn)來，這就需要新的硬件，這樣我們需要增加它的韌性，增加它靈活性。

在命名方面，我給大家展示的是DNS RFC的不同家族數(shù)，在DNS的設(shè)計起初我就參與進(jìn)來了，后來我們設(shè)計出了數(shù)百個RFC，比如用于文件、地理位置、郵件的發(fā)送的不同傳輸目前的DNS，DNS命名、域名的設(shè)計初衷是希望大家能夠進(jìn)行文件和數(shù)據(jù)的傳輸。在當(dāng)時我們沒有足夠好的網(wǎng)絡(luò)，我們使用DNS作為一個基準(zhǔn)，所有技術(shù)的核心就是我們希望能夠在這個基礎(chǔ)之上，能夠建立起新的事物，甚至以后我們都沒有辦法想象，有可能產(chǎn)生出的新的事物。

下一步應(yīng)該怎么做呢？當(dāng)時IKAN（這是一個國際組織），主要做域名方面的工作，IKAN當(dāng)時成立了一個委員會，我想很多的成員都參加了今天的大會。IKAN希望在命名方面做一個大的革新，做一個革命，我們應(yīng)該怎么做呢？首先命名或者是域名，是不會永遠(yuǎn)存在，我們需要想這個問題，就想其他任何的組織一樣，尤其是在技術(shù)世界當(dāng)中，技術(shù)是有壽命的，技術(shù)有一天是會消亡的，我們現(xiàn)在的新技術(shù)以后都會被取消、取締，這只是一個時間問題。

它的驅(qū)動力是什么？整個的技術(shù)演進(jìn)驅(qū)動力是什么？我們需要去考慮這個問題，我們需要考慮到DNS不斷的擴(kuò)展，比方說我們今天有這么一個基礎(chǔ)，我們可以讓所有的軟件、設(shè)備、電腦在上面進(jìn)行運營，比說大家的手機，通過這樣的方式我們可以使用我們的命名，并且全球范圍內(nèi)通用使用這些命名。還有新的TLD，IKAN創(chuàng)建了上千的新的域名，以及其他的能夠跨越不同國家的域名，這就是使用于中國的域名，還有新的能力都產(chǎn)生了，最開始DNS是為了主機設(shè)計的，但是現(xiàn)在雖然DFC不斷的增加，不同的群體、組織都開始使用了DNS，當(dāng)然還會有更多的各方參與進(jìn)來，還有更多的空間和更多的配置，我們可以從其他的地方獲取到我們需要的資源，抓取它們。

現(xiàn)在我們看到很多人把命名作為建設(shè)新的體系的一種途徑，這會帶來一定的好處和一定的不利，有什么地方值得我們關(guān)注？我們會看到，當(dāng)我們探討域名的時候，不僅僅會說WWW，好比我想要拿到一部新的電話，或者我希望能夠讓域名消失，比如使用AI的技術(shù)，我不希望它出現(xiàn)可見的域名，有時候我們覺得這是一種很難的方式，我們完全跳出我們思想固化是很困難的。

比如我們看到新的郵件地址，Google肯定是希望大家都用這樣的地址，對于商業(yè)利益來說，這一點往往會成為我們聯(lián)盟的一個壁壘，大家都不希望進(jìn)行分享，處于商業(yè)的利益考慮。比如說大家希望購買的這些路由器不會互相進(jìn)行干預(yù)，或者不希望我們的域名在全球范圍內(nèi)通用，但是大家需要了解我們需要寬容這些不同。

我們學(xué)術(shù)協(xié)會經(jīng)常探討這個問題，不同的網(wǎng)絡(luò)技術(shù)，最終都會被取代，我們所關(guān)注的特別問題，比如說根文件，我想這將會圖動我們的DNS資源在全球范圍內(nèi)擴(kuò)展出去，但是這需要我們特定的設(shè)計，甚至可能需要花費好幾十年，我們希望能夠建設(shè)真正的電子化的面向內(nèi)容的，有針對性的這些文件和技術(shù)，我們希望能夠設(shè)計出那些可復(fù)制的數(shù)字電子內(nèi)容。

如果大家擔(dān)心安全的問題，我們就需要識別出可能會發(fā)生攻擊的時間和地點，我們還需要探討進(jìn)入到路由器當(dāng)中的配置信息?，F(xiàn)在我們看到這些信息只是碎片化的，我們的域名可能會以地址的形式進(jìn)行呈現(xiàn)。我們想做的是能夠自動的同步這些信息，我們可能希望能夠有一種完全自動化的方法，來把這些上層的域名與不同的活動進(jìn)行一個貫通和貫連，這是我們非常關(guān)注的問題，我們有不同的項目支持這些問題。

研究不同的途徑如何來提高電子簽名處理信息的能力，這屬于早期的，但是是最基本的研究，最終能幫助我們實現(xiàn)最好的性能，提高安全性。

另外，從短期來看我們能做什么呢？如果大家看看DNS，安全行業(yè)的話，其實有幾個不同的部分，一個是處理感應(yīng)器，他們主要是通過感應(yīng)器收集數(shù)據(jù)監(jiān)測整個行業(yè)的發(fā)展?fàn)顩r和監(jiān)測網(wǎng)絡(luò)的情況。還專門設(shè)計風(fēng)險補給設(shè)置的，專門識別誰是搗亂的，誰才是真正對這個行業(yè)有貢獻(xiàn)的，通過這樣一種識別能夠幫助我們鑒定各方。再一個是做評估的機構(gòu)，如果我們的服務(wù)方拒絕我們提供相關(guān)的域名服務(wù)，我們就希望能夠采取即時的措施應(yīng)對這一問題。

我們有50多個危險的來源，我們把這些數(shù)據(jù)充分的整理之后，公共、私有的數(shù)據(jù)這里面都有，這就是我們安全顧問所扮演的角色，一般顧客問我們，他們手工去決定，哪一個是真正的危險，特別是信息的源泉方面進(jìn)行管控，哪一個是危險的，可能是最好的掌控方式。但是我們要把顧客的需求結(jié)合起來，比如你可能會說我想把這個過濾掉，我想把中文的流量都關(guān)掉，我想我公司里的打印機信息屏蔽掉，不同的顧客有不同的要求，特別是他們手動的決定哪些是危險的源泉，根據(jù)他們?nèi)ザx相應(yīng)的網(wǎng)管和網(wǎng)絡(luò)控制。

我們現(xiàn)在在做的是在第一級網(wǎng)絡(luò)方面研究管控，哪些是好的內(nèi)容，哪些是壞的內(nèi)容，整體的意思是，實時數(shù)據(jù)的反饋，誰是好的地址，哪些是好人、壞人，我們沒發(fā)現(xiàn)哪些地址是有害的，可能實際上并不是這樣的，有時候處于安全的考慮不愿意把這些信息放進(jìn)來，聽起來是好的決定，但是它在很多層面上遠(yuǎn)遠(yuǎn)不止是危險，可能比危險它還有其他的價值在里面，遠(yuǎn)遠(yuǎn)不止是危險的源泉，到底對于安全的系統(tǒng)方面，我們?yōu)槭裁匆獩Q定它是否有害沒害，有兩種原因，一個是成本，第二個榮譽。

關(guān)于成本方面的問題，我一般會說，因為有基本關(guān)于安全方面，它會跟成本非常緊密掛鉤，特別是當(dāng)人們有功能整個系統(tǒng)的能力、成本、安全，他們需要做關(guān)鍵的平衡，有時候成本可能更加重要，權(quán)重大一點，我們會看一下如何處理這樣的成本，大家知道有不少疑問，特別是在網(wǎng)絡(luò)捍衛(wèi)的時候，需要開銷很多，包括瞄準(zhǔn)攻擊的源泉。

今天的問題我們面臨一系列的危險，有不同的機器，可能新的機器買進(jìn)來，采用了新的系統(tǒng)，而且大家對于新的機器沒有新的知識，我們怎么樣建立防衛(wèi)系統(tǒng)，確保真正的安全，是單層還是多層的，如果我們做這樣的事情之后，我們把電子郵件分析它自己的內(nèi)容，這是可以做的，這是非常復(fù)雜的一種方式，你要把CPU里面的密集計算量是需要的，不管它的名字是什么，它的信息來自于什么樣的地址，我們都要充分分析它的內(nèi)容，怎么樣有效的方式去分析，可能第一級開始防護(hù)，把這一系列處理掉，把整體的低層次的流量直接屏蔽掉，把更復(fù)雜的危險潛在源分類處理，根據(jù)它的危險存在的可能地點進(jìn)行分類處理。

現(xiàn)在答案是，我知道大家可能需要不止一層的捍衛(wèi)方式，每一個高層次的安全公司有自己的一些妥協(xié)方式，在我們這個層面上，必須要去某種層面上進(jìn)行妥協(xié)，特別是安全層面上，必須要想到安全不是一層，你想要整個系統(tǒng)是獨立的，如果要想實現(xiàn)這一點，必須要有所妥協(xié)，而且要有這樣一些機會去相互妥協(xié)，聽起來好像是不大樂觀，但是是真的。在長期的安全來說，我們要必須去考慮到一系列的分支工程，采用不同的方法，大學(xué)里現(xiàn)在已經(jīng)在采用，先面有些人說要有非常清晰的架構(gòu)。

另一方面基本的觀點是信息的中心網(wǎng)絡(luò)內(nèi)容、移動網(wǎng)絡(luò)、可移動性，一系列的研發(fā)團(tuán)隊正在研究不同領(lǐng)域的安全問題，命名、簽名、協(xié)議、基本的關(guān)鍵安全可能存在的危險點，他們有時候不一定去同意相同的命名，但是有一點是共同的，我們整體的觀念是要確保，當(dāng)你有一點內(nèi)容之后，你要去辨別它是從哪來的，不知道這個來源是否可信，這是基本的邏輯，一般大家對地址不大關(guān)注，一般會說你自己發(fā)布的信息，從哪獲得這個信息并不重要，但是我個人的觀念整體的流動性流程應(yīng)當(dāng)是基于最頂層命名的一些系統(tǒng)，能夠把它跟整個網(wǎng)絡(luò)更好的結(jié)合起來，命名系統(tǒng)非常關(guān)鍵?；旧衔覀儊碚f，能把網(wǎng)址的命名系統(tǒng)，以及內(nèi)容來源，這樣我們知道這個內(nèi)容是哪來的，從哪獲取這些內(nèi)容，就能夠更好的進(jìn)行分析風(fēng)險和安全。

在歷史上的記錄，我們有數(shù)字證書，S509的數(shù)字認(rèn)證，這里面價值含金量很高，已經(jīng)說明我們這個是安全的，僅僅看一下我們的數(shù)字認(rèn)證，還有什么問題嗎？但是我個人的觀點，我們要必須認(rèn)識到這種方法是一種好的方法，而且早期傳統(tǒng)的方法就是采用這種方法，整體的成本和復(fù)雜度能夠確保安全基礎(chǔ)設(shè)施的實現(xiàn)，實際上是我們必須要在保持它的高的價值量，這個安全本身就有自己的高價值的量，所有的硬件、軟件方面的進(jìn)步，讓通訊成本變得更加簡潔，而不是更加復(fù)雜。我們要采用基本的觀念，而且把網(wǎng)絡(luò)上的不同內(nèi)容進(jìn)行相應(yīng)的分析和處理，這就像電腦的進(jìn)化一樣，一開始電腦非常大，像一個房間一樣大，一開始計算的時候計算量比較小，隨著計算機不斷的進(jìn)展，越來越多的技術(shù)可以采用，越來越多的技術(shù)發(fā)展起來，這跟網(wǎng)絡(luò)的概念一樣，越來越多的內(nèi)容和命名地址出現(xiàn)，對我們來說，我們要充分利用現(xiàn)在已有的高性能的硬件，是我們的價值點所在，應(yīng)該充分利用計算力這種資源能夠充分的把安全去控制起來，我覺得這種進(jìn)化是不斷演進(jìn)的。

在美國這種網(wǎng)絡(luò)過程項目，并不是看以前的網(wǎng)絡(luò)發(fā)生什么，而是看新出現(xiàn)的問題是什么，我們現(xiàn)在有不同的認(rèn)證技術(shù)，在中國不斷的出現(xiàn)，我覺得可能真正做起來我們要想得到正確的答案，必須解決相應(yīng)的問題，而且要從頭做起來，現(xiàn)在新的技術(shù)出來了，新的安全方案需要跟上。在將來的命名系統(tǒng)可擴(kuò)展，我把它稱作為主動協(xié)調(diào)，DNS是比較成功的，因為它能夠幫助不同的域名之間進(jìn)行可擴(kuò)展，特別是在電子信件的交換方面。在另外一層，如何確保它的聯(lián)邦管控，我們能夠創(chuàng)立一系列的協(xié)議，在不同的組織間，就像美國聯(lián)邦一樣，能夠不同的部分、不同的網(wǎng)絡(luò)、不同的功能能夠共同的協(xié)調(diào)管控起來，我為什么說這一點，因為它叫做樣例應(yīng)用，可能在汽車和其他硬件終端方面能夠共同協(xié)調(diào)，共同的工作，不同的部分，今天汽車是非常復(fù)雜的網(wǎng)絡(luò)了。

大家想一下，我們自己的汽車?yán)锏囊繇懴到y(tǒng)可能能控制汽車剎車，主要取決于你自己的汽車是哪一個版本，我們有不同的硬件和軟件都會用在汽車上，我們怎么去當(dāng)?shù)氐碾娏W(wǎng)方面看一下，我們有不同的電池，還有不同的供貨商，他們都是自我組織，自我獨立，在國際的層面上如何把這些不同層面、不同階段的產(chǎn)品，不同硬件、軟件協(xié)調(diào)起來，這是至關(guān)重要的。

對于網(wǎng)絡(luò)也是一樣的，我們可能想一下IKN能夠控制所有的命名，能夠把它們共同協(xié)調(diào)起來，但是并不是這樣的，我們必須想一下怎么樣從物聯(lián)網(wǎng)把這些實體充分連接起來，保持它們各自的獨立性，這就是我給大家舉這個例子，就像汽車產(chǎn)品一樣。