Кратко

  • В октябрьском отчёте APNIC сопоставлены июльский срез сигналов резолверов по RFC 8145 и новые тесты конечных систем по RFC 8509. Примерно 90% и 70% описывают разные пути наблюдения; вычитать или усреднять их нельзя.
  • Таблица сетей служит перечнем для проверки, а не оценкой готовности провайдера или числом затронутых клиентов. Операторам нужно тестировать собственные проверяющие резолверы.

Анализ

Процент должен указывать, что именно он наблюдает

За два дня до плановой смены корневого ключа DNSSEC доля готовых резолверов кажется решающим ответом. Если преемник установлен у большинства, смена должна пройти безопасно; если нет, кто-то должен остановить её. Проблема — в слове «большинство». Сигнал резолвера, тест через сеть конечного пользователя и люди, зависящие от этой сети, — разные единицы измерения.

В отчёте APNIC от 9 октября, подготовленном днём ранее, описаны два наблюдения за KSK-2024. Первое основано на RFC 8145: проверяющие резолверы могут передавать теги ключей, которым доверяют, в запросах, видимых операторам авторитетных серверов. Второе использует Root Key Trust Anchor Sentinel из RFC 8509. Тест отправляется с конечной системы, а ответ позволяет судить о состоянии доверия резолвера. Ключ и дата перехода одни и те же, но измеряемые объекты различаются.

В описании RFC 8145 есть существенная оговорка. APNIC характеризует июльский график так: около 90% резолверов, отправляющих сигналы, добавили KSK-2024. В обновлении Verisign от 28 июля говорится, что принятие ключа среди источников сигналов превысило 95% примерно через 500 дней. APNIC указывает Verisign как источник графика, однако опубликованные тексты не дают общей точной даты выборки и единого определения показателя, чтобы сопоставить эти числа. Возможно, это разные срезы или формулировки; доступный текст не позволяет решить. Это пробел в документации, который следует сохранить, а не доказательство сбоя измерения.

Недавние 70% ещё меньше подходят для прямого сравнения. По данным APNIC, рекламная измерительная платформа проводила в среднем около 16 миллионов тестов конечных систем в день. Около 6 миллионов показывали, что конечная система находится за рекурсивным резолвером с DNSSEC-валидацией; примерно 1,8 миллиона давали чёткий сигнал поддержки RFC 8509. Среди тестов, которые, по-видимому, поддерживали Sentinel, около 70% сообщали, что KSK-2024 загружен. Знаменатель — подмножество тестов с ясным сигналом, а не все 16 миллионов тестов, все валидирующие резолверы или все пользователи Интернета.

Два механизма отвечают на разные вопросы

RFC 8145 позволяет валидирующему резолверу сообщать теги ключей в цепочке доверия. В стандарте предусмотрены два необязательных способа: параметр EDNS и специальный запрос. Для корневой зоны операторы авторитетной инфраструктуры могут наблюдать такие сигналы. Данные показывают, как меняется заявленное состояние ключа у источников, которые отправляют сигналы.

Но они не сообщают, сколько домохозяйств, компаний или сервисов зависит от каждого резолвера. Одни рекурсивные резолверы обслуживают миллионы пользователей, другие — одну организацию или одно устройство. На то, что видит оператор корневого сервера, могут влиять и пересылающие резолверы. Поэтому доля сигналов отвечает на вопрос о сигналах, а не об охвате пользователей.

RFC 8509 идёт другим путём. Тест отправляет специально сформированные DNS-запросы, а совместимый валидирующий резолвер отвечает в зависимости от того, доверяет ли конкретному корневому ключу. APNIC использует рекламную измерительную платформу, чтобы проводить тесты через конечные системы. Такое наблюдение ближе к пути разрешения имён, которым пользуется протестированное устройство, но по-прежнему зависит от поддержки резолвера и возможности классифицировать ответ. Оно не определяет все резолверы за устройством и не считает всех пользователей, которые ими пользуются.

Тест RIPE Atlas от 5 октября даёт третий ракурс, но не полную проверку. Пробы в 2 900 автономных системах показали 1 230 вариантов поведения, согласующихся с загрузкой нового ключа, и 47 — с его отсутствием. Это результаты проб в этих сетях. Они не означают, что все системы в 2 900 AS проверены полностью, и не показывают количество клиентов за каждым результатом.

Неполные измерения полезны, если явно указать вопрос для каждого из них. RFC 8145 показывает, что сообщают резолверы, посылающие сигналы к корню; RFC 8509 проверяет поведение поддерживающих путь резолверов за конечными системами; RIPE Atlas добавляет точки наблюдения в других местах. Ни один метод сам по себе не даёт полного знаменателя для всего Интернета с весами по числу пользователей.

Список для проверки — не вердикт

Самая практичная часть отчёта APNIC — не общий процент. В таблице 3 перечислены 50 сетей с наименьшей наблюдаемой долей принятия KSK-2024 за предыдущую неделю. Из неё исключены сети, где было менее 1 000 тестов с поддержкой Sentinel. Такое условие делает строки содержательнее одиночного наблюдения, но не превращает их в аудит готовности.

В таблице есть сети Азиатско-Тихоокеанского региона, включая National Telecom в Таиланде и Teletalk в Бангладеш. APNIC приводит 48,4% для National Telecom по 1 355 тестам с поддержкой Sentinel и 48,2% для Teletalk по 2 046. Эти значения указывают на тестовые когорты, которые имеет смысл проверить подробнее. Они не доказывают, что все резолверы этих операторов имеют одинаковое состояние доверия, каждый ответ соответствует отдельному человеку или такая же доля клиентов потеряет доступ.

APNIC предлагает перечисленным сетям проверить собственный путь, в том числе с помощью страницы тестирования Cloudflare, и пересмотреть DNS-настройки. Так таблицу и следует использовать: как повод для проверки оператором, а не как внешний вердикт. Провайдер может вести несколько рекурсивных сервисов, пересылать часть трафика или полагаться на ключи, поставляемые производителем. Публичная таблица не позволяет разобраться в этих конфигурациях.

В расписании три отдельных перехода

В текущем графике IANA указано, что KSK-2024 появилась в корневой зоне 11 января 2025 года. Резолверы, следующие RFC 5011, должны были начать ей доверять месяц спустя. 11 октября 2026 года KSK-2024 должна начать подписывать корневую зону, а KSK-2017 — перестать. Отзыв старого ключа запланирован на 11 января 2027 года, удаление — на 22 марта.

Это разные состояния. «Новый ключ подписывает» не значит «старый отозван», а отзыв не означает, что ключ уже удалён из зоны. Период ожидания RFC 5011 даёт резолверу время наблюдать и проверять ключ-преемник перед автоматическим принятием. Но наличие протокола не доказывает, что конкретная установка включила обновления, сохраняет доступное для записи состояние или получила нужные наблюдения.

Роли тоже различаются. IANA публикует корневые якоря доверия и расписание; ICANN/PTI управляет процессом корневого KSK; Verisign, среди прочего, обслуживает корневую зону и предоставляет точку наблюдения на корневом сервере; APNIC публикует анализ своих измерений. За рекурсивные резолверы, которыми пользуются клиенты, отвечает оператор сети. APNIC предоставляет свидетельства, но не контролирует корневой ключ и не решает, состоится ли глобальный переход.

Для оператора немедленная проверка должна быть локальной: убедиться, что установленный резолвер доверяет правильному ключу-преемнику, проверить автоматическое обновление или одобренный ручной порядок и протестировать DNS-пути, используемые в рабочей среде. IANA публикует файлы якорей доверия, а производители — свои инструкции. Публичное измерение может подсказать, где искать проблему, но не проверяет её за организацию.

Данные, доступные 9 октября, позволяют сделать ограниченный вывод. Ключ-преемник опубликован больше года, значительная часть наблюдаемых сигналов и тестовых путей сообщает о его загрузке, а APNIC указала сети для целевой проверки. Описания 90%, более 95% и 70% не образуют единой оценки готовности. 11 октября операционный вопрос будет в том, принимает ли конкретный валидирующий путь новую подпись корня, а не в том, какой процент лучше смотрится в заголовке.

Источники

отчёт APNIC от 9 октября; расписание якорей доверия и переходов IANA; RFC 8145; RFC 8509; RFC 5011; обновление Verisign от 28 июля; FAQ ICANN для операторов, 2026; тест резолвера Cloudflare для KSK-2024.