上世紀(jì)八十年代初，美國在美軍網(wǎng)絡(luò)ARPANET基礎(chǔ)上啟動建設(shè)了基于TCP/IP協(xié)議的因特網(wǎng)（INTERNET），隨后作為奉獻(xiàn)給世界的禮物向國際社會開放。隨著因特網(wǎng)的高度開放，世界各國紛紛投入巨大的人力、物力、財(cái)力，將因特網(wǎng)位于本國的部分建設(shè)成國家信息技術(shù)基礎(chǔ)設(shè)施，這一舉措使得因特網(wǎng)成為了真正的國際互聯(lián)網(wǎng)。國際互聯(lián)網(wǎng)在世界各國的推動下以空前的速度發(fā)展壯大，成為國家信息通訊的重要技術(shù)平臺，是國家經(jīng)濟(jì)、社會活動所依賴的重要支柱。因此，世界各國對本國互聯(lián)網(wǎng)的管理主權(quán)提出了明確的訴求。
2013年6月24日，第6次聯(lián)合國大會發(fā)布了A/68/98文件，通過了聯(lián)合國“從國際安全的角度來看信息和電信領(lǐng)域發(fā)展政府專家組”所形成的決議。決議第20條內(nèi)容是：“國家主權(quán)和源自主權(quán)的國際規(guī)范和原則適用于國家進(jìn)行的信息通訊技術(shù)活動，以及國家在其領(lǐng)土內(nèi)對信息通訊技術(shù)基礎(chǔ)設(shè)施的管轄權(quán)。”本條款的本質(zhì)就是承認(rèn)國家的“網(wǎng)絡(luò)主權(quán)”。
一、關(guān)于國家“網(wǎng)絡(luò)主權(quán)”
從法理的角度來看，作為主權(quán)，需要確保其4個基本權(quán)利：即平等權(quán)、獨(dú)立權(quán)、自衛(wèi)權(quán)與管轄權(quán)。作為全球互聯(lián)互通的互聯(lián)網(wǎng)而言，自衛(wèi)權(quán)與管轄權(quán)目前是明確的。就自衛(wèi)權(quán)而言，美國等國家建立了網(wǎng)絡(luò)戰(zhàn)部隊(duì)，其目的當(dāng)然是要保護(hù)本國的網(wǎng)絡(luò)主權(quán)不受侵犯，保護(hù)本國的網(wǎng)絡(luò)基礎(chǔ)設(shè)施與運(yùn)行在互聯(lián)網(wǎng)上的信息系統(tǒng)不受打擊；就管轄權(quán)而言，各國都對本國的網(wǎng)絡(luò)行為依據(jù)本國國情制定了相關(guān)的法律與法規(guī)，他國對本國的互聯(lián)網(wǎng)治理行為不容干涉已成為共識。
就平等權(quán)而言，目前的國際互聯(lián)網(wǎng)域名分配與管理格局對各國來說并不平等，實(shí)際上是各國與“國際互聯(lián)網(wǎng)域名與IP地址分配機(jī)構(gòu)（ICANN）”簽約所形成，是一種“出租方”與“承租方”的關(guān)系；而ICANN是1998年10月在美國加州成立的非營利機(jī)構(gòu)，受美國商務(wù)部的管理。從這個意義上講，依據(jù)“ICANN | ccTLD Sponsorship Agreement（.cn ccTLD）”協(xié)議，由中國負(fù)責(zé)“.cn”這個頂級域名的管理，相當(dāng)于中國與美國簽訂國家級頂級域名解析分配協(xié)議，其實(shí)兩者之間并不具有平等關(guān)系。
目前，美國政府宣布2015年9月份可以視情況將ICANN交給一個國際組織管理。如果這一承諾確實(shí)兌現(xiàn)，在最理想的情況下，可以視為各國把部分管理權(quán)力讓渡給這個ICANN機(jī)構(gòu)的國際組織，從而保證各國在互聯(lián)網(wǎng)域名分配方面的平等性。
就獨(dú)立權(quán)而言，除了美國之外，各國實(shí)際上并不具備對本國互聯(lián)網(wǎng)獨(dú)立運(yùn)行的能力，這是因?yàn)閲H互聯(lián)網(wǎng)的域名解析體系采取的是中心式分層管理模式，使得各國互聯(lián)網(wǎng)的運(yùn)行從域名解析的角度高度依賴于位于美國的原根域名解析服務(wù)器。所謂中心式，是指所有的域名解析過程都是從根域名開始自頂向下，從而根域名解析服務(wù)器成為整個國際互聯(lián)網(wǎng)的控制點(diǎn)，任何在互聯(lián)網(wǎng)上的訪問行為通常都脫離不了根域名解析服務(wù)器的授權(quán)；所謂分層，是在頂級域名（如 .cn，.kr，.com，.info）體系之下，還可以形成二級、三級直至多級域名定義體系，使得各國可以管理本國的低層域名解析行為，但這些都依賴于其頂級域名的合理存在。
二、關(guān)于中心式域名解析體系對國家互聯(lián)網(wǎng)的威脅
就具體的域名解析過程來說，在網(wǎng)絡(luò)當(dāng)中設(shè)置了大量的遞歸解析服務(wù)器用于直接受理網(wǎng)絡(luò)用戶的域名解析請求，通過負(fù)載均衡提高解析效率。但這些遞歸解析服務(wù)器主要是依靠保存來自權(quán)威域名解析服務(wù)器的解析結(jié)果來提供給請求解析的用戶，僅僅是承擔(dān)著負(fù)載均衡與緩存的作用。對于在緩存中沒有記錄的、或記錄過期的域名解析請求，遞歸服務(wù)器還需要從國際根域名解析服務(wù)器開始逐層請求解析，從而形成了國際互聯(lián)網(wǎng)被集中控制的客觀效果。就是說，國際根域名服務(wù)器決定了各級域名的存在性及逐層解析能力。原理上，根域名解析服務(wù)器還可以對請求解析的源IP地址作限制，例如拒絕響應(yīng)來自某個國家內(nèi)IP地址的域名解析請求。
由于域名解析中心式管理模式的存在，使得各國互聯(lián)網(wǎng)不具備只憑借自身也能夠獨(dú)立運(yùn)行的能力。在這種體系架構(gòu)下，域名解析存在著兩種風(fēng)險。一種是本國域名被封殺的風(fēng)險，即只要在原根域名解析服務(wù)器中刪除該國的頂級域名注冊記錄，即可讓世界各國都無法訪問這個國家域名下的網(wǎng)站，在這種情況下，該域名的多層解析體系也會跟著土崩瓦解。就是說，如果美國決定拋棄哪個國家的互聯(lián)網(wǎng)，只要簡單修改原根域名解析數(shù)據(jù)，被拋棄的國家基本上無還手之力。據(jù)報(bào)道，伊拉克、利比亞的頂級域名曾經(jīng)先后被從原根域名解析服務(wù)器中抹掉了數(shù)天。這是一種“一國互聯(lián)網(wǎng)體系被從國際互聯(lián)網(wǎng)社會抹掉的風(fēng)險”，我們姑且稱之為“利比亞式風(fēng)險”。
另一種情況是無法接入國際互聯(lián)網(wǎng)風(fēng)險，即只要原根域名解析服務(wù)器及其所有從服務(wù)器、鏡像服務(wù)器拒絕為一個國家的所有遞歸解析服務(wù)器的IP地址提供根域名解析服務(wù)，依賴這個國家遞歸解析服務(wù)器的網(wǎng)絡(luò)用戶就會因無法獲得域名解析服務(wù)而無法上網(wǎng)。傳言歷史上索馬里曾遭遇過這種封殺。這是一種“一國網(wǎng)絡(luò)用戶被限制到互聯(lián)網(wǎng)上訪問的風(fēng)險”，我們姑且稱之為“索馬里式風(fēng)險”。
當(dāng)然，還有一種可能出現(xiàn)斷網(wǎng)的極端情況，就是切斷一個國家的互聯(lián)網(wǎng)通往國際社會的所有網(wǎng)絡(luò)通道。在這種情況下，依賴國際根域名解析體系的互聯(lián)網(wǎng)在這個國家內(nèi)部也同樣無法運(yùn)轉(zhuǎn)。當(dāng)然，封殺一個國家的互聯(lián)網(wǎng)，需要所有直接連向這個國家互聯(lián)網(wǎng)的那些國家的配合才能完成，這就如同美國的全球?qū)椃烙到y(tǒng)一樣，需要組織其他國家才能包圍一個國家。這是一種“一國互聯(lián)網(wǎng)被切斷成為孤島的風(fēng)險”，我們姑且稱之為“八國聯(lián)軍式風(fēng)險”。
三、維護(hù)網(wǎng)絡(luò)獨(dú)立權(quán)的應(yīng)對之策
從技術(shù)上說，頂級域名分為兩個部分，一是gTLD，涉及的是通用頂級域名，例如.info、.pro、.com等；二是ccTLD，涉及的是國家地區(qū)頂級域名，如.cn、.jp、.kr等。人們既可以申請通用域名，也可以申請國家地區(qū)域名，差別在于誰來保護(hù)用戶的利益。申請通用域名的人需要依賴企業(yè)來保護(hù)自己的利益，如VeriSign公司負(fù)責(zé)維護(hù).com頂級域名的解析；而申請國別域名的人則可以依靠政府來保護(hù)。
可以將通用頂級域名當(dāng)作非政府組織范疇，而國家地區(qū)代碼域名則作為網(wǎng)絡(luò)獨(dú)立權(quán)的涉獵范疇。當(dāng)然，一旦美國也認(rèn)可網(wǎng)絡(luò)獨(dú)立權(quán)的時候，他們自然會把通用頂級域名列入到美國的網(wǎng)絡(luò)獨(dú)立權(quán)體系之內(nèi)。
如上所述，我們需要應(yīng)對的是三種風(fēng)險：一是防范本國頂級域名被從原根域名服務(wù)器中抹掉的“利比亞式風(fēng)險”，這就需要打破中心制根域名解析體系，采取去中心化的根域名解析體系的手段，以達(dá)到不受原根域名解析服務(wù)器唯一控制的目的。二是防范本國遞歸域名解析服務(wù)器群被根域名解析服務(wù)器群拒絕解析而無法訪問國際互聯(lián)網(wǎng)的“索馬里式風(fēng)險”，這就需要借助其他方式迂回訪問根域名解析服務(wù)器，以達(dá)到獲得根域名解析服務(wù)器解析信息的目的。三是防范本國被徹底從國際互聯(lián)網(wǎng)中孤立的“八國聯(lián)軍式風(fēng)險”，這就需要構(gòu)建本國自身的域名解析體系，在本國內(nèi)形成域名解析服務(wù)的自治解析體系。
針對上述三個風(fēng)險，相比而言，第一種風(fēng)險最容易實(shí)施，因?yàn)橹灰唵螐脑蛎馕龇?wù)器中抹掉指定國家的頂級域名注冊記錄即可。因此，應(yīng)對“利比亞式風(fēng)險”最為迫切。但是，構(gòu)建去中心化的域名解析體系盡管技術(shù)上并不復(fù)雜，可是其涉及面很廣，最需周密設(shè)計(jì)。
第二種風(fēng)險實(shí)施起來并不容易。目前盡管只有一個原根及12個從根，但還有百余個鏡像根，不像過去那樣容易操縱所有根域名解析服務(wù)器來拒絕對某一國家的遞歸解析服務(wù)器所提出的解析請求。而且，網(wǎng)民自身也可以輕易地應(yīng)對這種風(fēng)險，因?yàn)榫W(wǎng)民只要選擇境外未被封殺的遞歸解析服務(wù)器即可化解這一危機(jī)，例如選擇8.8.8.8。當(dāng)然，通過鏡像獲取原根域名解析服務(wù)器解析信息的方法，也是一種做法，但顯然不如直接公告選擇境外未被封殺的服務(wù)器來得更為簡單，更為有效。
第三種風(fēng)險應(yīng)該說很難出現(xiàn)。只要一國在對外網(wǎng)絡(luò)通路直連方面選擇多國通道，尤其是選擇友好國家的通路，就很難被他國所組織封殺。當(dāng)然，做好應(yīng)對這種封殺的方法也是十分重要的，這就是建立本國自治根域名解析體系，讓國內(nèi)各遞歸域名解析服務(wù)器直接指向本國的根域名解析服務(wù)器。而本國的根域名解析服務(wù)器的信息來源只能是歷史信息，但國內(nèi)信息必須是實(shí)時備份緩存。這是考慮到國內(nèi)大量服務(wù)器采用通用頂級域名，因此需要通過緩存的方式來保存對位于境內(nèi)的權(quán)威域名服務(wù)器的注冊記錄。當(dāng)然，要求國內(nèi)服務(wù)器同時注冊境內(nèi)、境外兩個域名是根本的解決問題之道。
四、建立基于國家頂級域名聯(lián)盟的自治根域名解析體系
解決“利比亞式風(fēng)險”的核心要點(diǎn)是域名解析體系的去中心化。但是，根據(jù)Zooko的三角猜想，采取去中心化域名解析體系要么會像QQ空間那樣導(dǎo)致域名的全局性沖突，要么就需要像比特幣那樣必須放棄自行選擇域名命名的權(quán)利。顯然這兩種方式都不是在現(xiàn)行體制下可以被接受的。因此，我們必須接受ICANN組織作為中心的客觀存在，但是，ICANN的中心化只是表現(xiàn)在名字分配之上，以確保不會出現(xiàn)名字沖突。
在域名解析過程中，可以采用類似自治域間路由對等擴(kuò)散的思路，構(gòu)造一個“域名對等擴(kuò)散”的方法，讓各個頂級域名所有者不僅僅是向原根報(bào)告其解析服務(wù)器的地址信息，還向其他國家級根域名掌控者報(bào)告其頂級域名服務(wù)器的地址信息。同時，對各國家級根域名解析系統(tǒng)來說，直接交換過來的頂級域名解析服務(wù)器的地址信息顯然比通過原根所轉(zhuǎn)告的信息要更為可信。由此，那些對外發(fā)布自身頂級域名解析服務(wù)器地址信息的國家就不再會被國際根域名服務(wù)器所封殺。
首先，國家建設(shè)自治根域名解析系統(tǒng)，接收來自本國遞歸域名服務(wù)器的解析請求。國家自治根域名解析系統(tǒng)的數(shù)據(jù)庫信息來自三個渠道：一是來自本國頂級域名的注冊信息；二是來自其他國家的頂級域名交換信息；在上述信息不具備的情況下（例如通用頂級域名），采用來自國家原根域名解析數(shù)據(jù)庫的信息，相當(dāng)于對原根解析信息的鏡像或者緩存。
其次，需要建設(shè)四個數(shù)據(jù)庫，其中，主數(shù)據(jù)庫是用于提供解析服務(wù)的“國家級根域名解析數(shù)據(jù)庫”；再就是接受本國頂級域名注冊信息的“本地注冊數(shù)據(jù)庫”、保存來自國際根域名解析服務(wù)器的“國際根域名鏡像信息庫”、保存接收自各國家級頂級域名解析服務(wù)器所對等擴(kuò)散地址信息的“本地交換解析信息庫”。
第三，構(gòu)建國家級頂級域名聯(lián)盟，吸收愿意構(gòu)建本國自治根域名體系的國家甚至企業(yè)（如VeriSign）加入。聯(lián)盟內(nèi)的成員之間協(xié)商頂級域名解析服務(wù)器地址信息的交換協(xié)議，并以全互聯(lián)的方式相互通過可信通道交換相應(yīng)的信息。在這種情況下，ICANN可以看做聯(lián)盟內(nèi)的超級成員，因?yàn)楦鱾€頂級域名解析服務(wù)器仍然向ICANN提交自身的解析服務(wù)器地址信息，同時各國的根域名解析服務(wù)器也從ICANN的根域名服務(wù)器中獲取包括通用頂級域名在內(nèi)的解析服務(wù)器地址信息。同時，ICANN還承擔(dān)域名分配管理工作。
聯(lián)盟內(nèi)可以設(shè)立超級盟友。超級盟友之間不僅相互交換本國的頂級域名解析服務(wù)器地址信息，還可以相互之間代為提供解析請求，以便在超級盟友被國際根域名解析服務(wù)器拒絕提供服務(wù)時代為提供解析服務(wù)。
在這種情況下，可以把兩種極端情況看成兩個極端特例：一個極端特例是聯(lián)盟內(nèi)只有本國與ICANN存在，只有本國可以向國際根域名解析服務(wù)器注冊本國頂級域名信息，并從國際根域名解析服務(wù)器獲取解析信息。此時，本國根域名解析服務(wù)器數(shù)據(jù)庫中只有兩類數(shù)據(jù)，一類是本國注冊的頂級域名解析服務(wù)器地址信息，一類是來自于國際根域名解析服務(wù)器所提供的信息。在這種情況下，國家級自治根域名解析體系至少能夠?qū)崿F(xiàn)對基于本國頂級域名體系的自行解析。也就是說，有了這種運(yùn)行模式，在出現(xiàn)“八國聯(lián)軍式風(fēng)險”時本國互聯(lián)網(wǎng)仍然可以運(yùn)轉(zhuǎn)。如果國家級根域名解析服務(wù)器數(shù)據(jù)庫保存有國際根域名解析服務(wù)器的全部信息鏡像，同時也能夠應(yīng)對“索馬里式風(fēng)險”。
另一種極端特例是各國都加入了聯(lián)盟，在這種情況下，只有.net、.mobi 、.pro 這類gTLD域名還由國際頂級域名解析服務(wù)器來解析，但.in、.kr、.de等ccTLD 國別域名是靠交換而來。甚至不排除一些通用頂級域名也像非政府組織一樣，主動要求參與到交換體系中，例如負(fù)責(zé)維護(hù).com的VeriSign公司也愿意以交換的形式與各國進(jìn)行域名地址擴(kuò)散。在這種情況下，聯(lián)盟成員所屬的頂級域名就能夠防范“利比亞式風(fēng)險”。
由此，在兩個極端情況之間，只要聯(lián)盟內(nèi)有成員存在，整個體系就自然可以運(yùn)行起來，不僅聯(lián)盟成員國可以防范住“八國聯(lián)軍式風(fēng)險”，借助超級盟友，成員國還能防范住“索馬里式風(fēng)險”；在出現(xiàn)“利比亞式風(fēng)險”時，聯(lián)盟內(nèi)成員仍然能夠訪問被國際根服務(wù)器抹除的成員國。所以，“國家級頂級域名聯(lián)盟”方案能夠同時應(yīng)對三種域名解析的風(fēng)險。
在這種方案中，聯(lián)盟成員國只需要各自建設(shè)一個根域名解析服務(wù)器，在該服務(wù)器中建設(shè)一組數(shù)據(jù)庫，包括“國家級根域名解析數(shù)據(jù)庫”、“本地注冊數(shù)據(jù)庫”、“國際根域名鏡像信息庫”、“本地交換解析信息庫”，建設(shè)聯(lián)盟成員根域名解析服務(wù)器之間的可信交換通道。再就是各遞歸域名解析服務(wù)器需要指向國家級根域名解析服務(wù)器，而不是指向國際根。顯然，這種方案的改動是非常小的。
“國家級頂級域名聯(lián)盟”方案可以與現(xiàn)存方案共存。就是說，本國內(nèi)的所有遞歸域名解析服務(wù)器可以分成兩類，一類仍然采用原來的方法直接指向國際根域名解析服務(wù)器，稱之為“原遞歸服務(wù)器”；另一類則直接指向本國根域名解析服務(wù)器，稱之為“新遞歸服務(wù)器”。由此，使用“原遞歸服務(wù)器”的用戶實(shí)際上就是采用原有的域名解析體系；使用“新遞歸服務(wù)器”的用戶實(shí)際上就是采用“國家級頂級域名聯(lián)盟”的域名解析體系。在推廣過程中，“新遞歸服務(wù)器”可以逐漸擴(kuò)充，開始時只是參與測試的用戶選用這種模式，隨著這種模式的成熟，“新遞歸服務(wù)器”不斷擴(kuò)充，不斷鼓勵網(wǎng)民選用“新遞歸服務(wù)器”作為域名解析的配置。當(dāng)然，更為有效的模式是用戶在首選DNS與輔助DNS的配置中，分別選擇“原遞歸服務(wù)器”和“新遞歸服務(wù)器”，以便提高解析的可靠性。
五、與“應(yīng)急根域名解析”模式的比較
目前，人們對“索馬里式風(fēng)險”與“八國聯(lián)軍式風(fēng)險”關(guān)注的比較多，因此提出了“應(yīng)急根域名解析”模式。這種模式是指采取對根域名服務(wù)器解析數(shù)據(jù)庫進(jìn)行日常備份，在出現(xiàn)所有三種風(fēng)險時，將國際根域名服務(wù)器的地址重定向到特定的應(yīng)急替代服務(wù)器中，由該服務(wù)器進(jìn)行解析，以確保本國的互聯(lián)網(wǎng)能夠正常運(yùn)轉(zhuǎn)。
比較“應(yīng)急根域名解析”模式與“國家級頂級域名聯(lián)盟”模式之間的差異，顯然后者占有明顯的優(yōu)勢。一是“應(yīng)急”模式是應(yīng)急態(tài)，平時不能啟用，因缺乏平時的運(yùn)行考驗(yàn)，很難保證在需要的時候能夠有效使用，尤其是根域名解析系統(tǒng)是否能承受大負(fù)荷缺乏實(shí)驗(yàn)檢驗(yàn)；而“聯(lián)盟”模式作為常態(tài)運(yùn)行，平時就可以同步使用，根域名解析服務(wù)器的負(fù)載能力可以在日常運(yùn)行的監(jiān)控中不斷擴(kuò)充，可以使得運(yùn)行過程得到長期有效的考驗(yàn)。二是“應(yīng)急”模式所采取的技術(shù)過于復(fù)雜，地址重定向的可靠性缺少百分之百的把握；而“聯(lián)盟”模式改動僅是遞歸服務(wù)器指向本國根域名解析服務(wù)器，沒有技術(shù)門檻，屬于常規(guī)的域名解析手段，不存在技術(shù)障礙。三是“應(yīng)急”模式缺少必要的鋪墊，用戶缺少感知、配合與磨合的機(jī)會，很難保證有效；而“聯(lián)盟”模式因?yàn)閷儆谂c傳統(tǒng)的域名解析系統(tǒng)長期同時并行使用，從而可以逐漸被用戶所接受，所以不存在任何使用過程中的障礙。四是“應(yīng)急”模式由于需要構(gòu)建龐大的重定向體系，投資巨大；而“聯(lián)盟”模式只需要建設(shè)根域名解析服務(wù)器、四個數(shù)據(jù)庫及安全可信的交換通道，且在建設(shè)之初國家根域名解析服務(wù)器的解析量極小，所以估計(jì)投資只是“應(yīng)急”模式的一個零頭。五是“應(yīng)急”模式采取的是守勢，如同頸帶鐵環(huán)“引頸就戮”，靜等屠刀出鞘；“聯(lián)盟”模式采取的是攻勢，就是告訴世人，如果再有國家被根域名解析服務(wù)器抹去其頂級域名信息，那所有感到威脅的國家就會加入聯(lián)盟，不再參與以根域名解析服務(wù)器為中心的域名解析體系，從而不再讓根域名服務(wù)器掣肘聯(lián)盟成員國互聯(lián)網(wǎng)的運(yùn)行。這種做法的更為重要的意義在于是支持“網(wǎng)絡(luò)主權(quán)”的理念，確保網(wǎng)絡(luò)獨(dú)立權(quán)。
六、結(jié)論
“聯(lián)盟”模式的常態(tài)使用可以首先建立起國家根域名解析體系，一方面同友好國家交換根域名信息以建立“本地交換解析數(shù)據(jù)庫”，一方面通過復(fù)制的方法獲得“國際域名解析數(shù)據(jù)庫”的信息；同時，先選擇少量遞歸服務(wù)器指向國家根域名解析服務(wù)器進(jìn)行試點(diǎn)，在試點(diǎn)成功后可以讓更多的遞歸服務(wù)器指向國家根服務(wù)器。而網(wǎng)民可以自主選擇遞歸解析服務(wù)器，選擇“原遞歸服務(wù)器”就屬于傳統(tǒng)的解析模式；選擇“新遞歸服務(wù)器”就屬于“聯(lián)盟”的解析模式。由此，選擇權(quán)交給網(wǎng)民，網(wǎng)民也就可以不為此爭論孰是孰非，隨意選擇使用哪種模式，既可以平滑過渡，也可以在出現(xiàn)三種風(fēng)險之一的情況下，選擇“自主”解析模式來應(yīng)對風(fēng)險。
