本文引用了颜向群发表于高可用架构公众号上的文章《聊聊HTTPS环境DNS优化：美图App请求耗时节约近半案例》的部分内容，感谢原作者。

1、引言

2、相关文章

• 《TCP/IP详解 卷1：协议 - 第14章 DNS:域名系统》
• 《全面了解移动端DNS域名劫持等杂症：原理、根源、HttpDNS解决方案等》
• 《移动端弱网优化专题(一)：通俗易懂，理解移动网络的“弱”和“慢”》
• 《移动端弱网优化专题(二)：史上最全移动弱网络优化方法总结》
• 《移动端弱网优化专题(三)：现代移动端网络短连接的优化手段总结》
• 《移动端弱网优化专题(四)：百度APP网络深度优化实践（DNS优化篇）》
• 《移动端弱网优化专题(五)：百度APP网络深度优化实践（网络连接优化篇）》
• 《移动端弱网优化专题(六)：百度APP网络深度优化实践（移动弱网优化篇）》
• 《移动端弱网优化专题(七)：爱奇艺APP网络优化实践（网络请求成功率优化篇）》
• 《移动端弱网优化专题(八)：美团点评的网络优化实践（大幅提升连接成功率、速度等）》
• 《移动端弱网优化专题(九)：淘宝移动端统一网络库的架构演进和弱网优化实践》
• 《移动端弱网优化专题(十)：爱奇艺APP跨国弱网通信的优化实践》
• 《移动端弱网优化专题(十一)：美图APP的移动端DNS优化实践》（* 本文）
• 《移动端弱网优化专题(十二)：得物自研移动端弱网诊断工具的技术实践》
• 《移动端弱网优化专题(十三)：得物移动端常见白屏问题优化（网络优化篇）》
• 《移动端弱网优化专题(十四)：携程APP移动网络优化实践（弱网识别篇）》
  

• 《网络编程懒人入门(七)：深入浅出，全面理解HTTP协议》
• 《脑残式网络编程入门(三)：HTTP协议必知必会的一些知识》
• 《不为人知的网络编程(八)：从数据传输层深度解密HTTP》
• 《从HTTP/0.9到HTTP/2：一文读懂HTTP协议的历史演变和设计思路》
• 《WebSocket详解（四）：刨根问底HTTP与WebSocket的关系(上篇)》
• 《WebSocket详解（五）：刨根问底HTTP与WebSocket的关系(下篇)》
• 《可能会搞砸你的面试：你知道一个TCP连接上能发起多少个HTTP请求吗？》
  

• 《一分钟理解 HTTPS 到底解决了什么问题》
• 《即时通讯安全篇（七）：如果这样来理解HTTPS，一篇就够了》
• 《即时通讯安全篇（八）：你知道，HTTPS用的是对称加密还是非对称加密？》
• 《一篇读懂HTTPS：加密原理、安全逻辑、数字证书等》
  

3、内容概述

1.jpeg (13.43 KB, 下载次数: 1348)

下载附件  保存到相册

6 年前 上传

4、LocalDNS VS  HTTP DNS

• 1）域名缓存：运营商 DNS 缓存域名解析结果，将用户导向网内缓存服务器；
• 2）解析转发 & 出口 NAT：运营商 DNS 转发查询请求或是出口 NAT 导致流量调度策略失效。
  

2.jpg (16.33 KB, 下载次数: 1386)

下载附件  保存到相册

6 年前 上传

原本用户进行 DNS 解析是向运营商的 DNS 服务器发起 UDP 报文进行查询，而在 HTTP DNS 下，我们修改为用户带上待查询的域名和本机 IP 地址直接向 HTTP WEB 服务器发起 HTTP 请求，这个 HTTP WEB 将返回域名解析后的 IP 地址。

4.jpeg (46.06 KB, 下载次数: 1392)

下载附件  保存到相册

6 年前 上传

• 1）根治域名解析异常：绕过运营商的 DNS，向具备 DNS 解析功能的 HTTP WEB 服务器发起查询；
• 2）调度精准：HTTP DNS 能够直接获取到用户的 IP 地址，从而实现准确导流；
• 3）扩展性强：本身基于 HTTP 协议，可以实现更强大的功能扩展。
  

5、美图APP的DNS 优化策略探索

• 1）IP 记录的 TTL 时间：在 DNS 劫持发生的情况下，返回的 TTL 可能会有非常大的值；
• 2）解析耗时：如果一个 DNS 服务器解析耗时不理想，那么它也不是我们希望的；
• 3）返回的 IP 的可连接性：对返回的 IP 进行质量测试，如果连接状况不佳，那么这个 DNS 服务器有劫持的可疑。
  

• 1）LocalDNS 在过期的情况下，会发起递归查询，这个时间是不可控的，在部分情况下甚至能达到数秒级别；
• 2）HTTP DNS 相对会好一些，但正常来看，也会有200ms 左右的耗时。
  

5、美图APP无侵入的 SDK 接入方式探索

5.1IP直连方案及各种坑

URL htmlUrl = new URL("http://1.1.1.1/");
HttpURLConnection connection = (HttpURLConnection) htmlUrl.openConnection();
connection.setRequestProperty("Host","www.meitu.com");

• 1）客户端发送 Client Hello，携带随机数、支持的加密算法等信息；
• 2）服务端收到请求后，选择合适的加密算法，连同公钥证书、随机数等信息返回给客户端；
• 3）客户端检验服务端证书的合法性，计算产生随机数并用证书公钥加密发送给服务端；
• 4）服务端通过私钥获取随机数信息，基于之前的交互信息计算得到协商密钥并通知给客户端；
• 5）客户端验证服务端发送的数据和密钥，通过后双方握手完成，开始进行加密通信。
  

• 1）客户端用本地保存的根证书解开证书链，确认服务端的证书是由可信任的机构颁发的；
• 2）客户端需要检查证书的 Domain 域和扩展域是否包含本次请求的 HOST。
  

解决 SSL/TLS 握手中域名校验问题的方法在于我们重新配置 HostnameVerifier, 让请求库用实际的域名去做域名校验。

final URL htmlUrl = new URL("https://1.1.1.1/");

HttpsURLConnection connection = (HttpsURLConnection) htmlUrl.openConnection();

connection.setRequestProperty("Host","www.meipai.com");

connection.setHostnameVerifier(new HostnameVerifier() {

      @Override

      public boolean verify(String hostname, SSLSession session) {

          return HttpsURLConnection.getDefaultHostnameVerifier()

                    .verify("www.meipai.com",session);

      }

});

• 1）服务端配置有多个域名和对应的证书。客户端在与服务器建立SSL链接之时,先发送自己要访问站点的域名；
• 2）服务器根据这个域名返回一个合适的证书。
  

5.2美图最终使用的无侵入式 DNS SDK 集成方案

InetAddress.getAllByName("www.meipai.com");

5.jpeg (36.3 KB, 下载次数: 1320)

下载附件  保存到相册

6 年前 上传

• 1）模仿系统的 AddressCache 构造一个我们自己的 AddressCahce 结构，不过它的 get 方法被替换为从我们 SDK 获取解析记录；
• 2）通过反射的形式用我们修改后的 AddressCache 替换掉系统的 AddressCache 变量。
  

6.jpeg (33.67 KB, 下载次数: 1344)

下载附件  保存到相册

6 年前 上传

7.png (23.55 KB, 下载次数: 1266)

下载附件  保存到相册

6 年前 上传

8.jpeg (45.31 KB, 下载次数: 1280)

下载附件  保存到相册

6 年前 上传

6、SDK 上线后的效果表现

9.png (24.26 KB, 下载次数: 1347)

下载附件  保存到相册

6 年前 上传

附录：更多网络通信方面的精华文章