摘要

  • George Michaelson 写道，他的家庭 DNS 备用方案只存在于设想中；重启所谓主服务后，他才发现那其实是唯一实例。
  • DHCP 与 IPv6 路由器通告可以下发多个解析器地址，但地址列表不能证明客户端保存了替代项、会在故障时使用它，或能获得相同的本地策略。
  • 一份轻量故障切换凭证，应分别记录运行端点、故障域、配置下发、客户端所见状态、受控切换、策略一致性与回滚。

9 月 9 日，George Michaelson 在 APNIC Blog 讲述了自己使用 Pi-hole 与 AdGuard 提供家庭内部 DNS 的经历。该网页明确说明，文中观点属于作者本人；它不是 APNIC 生产服务的事故通告。文章最有价值的部分，是一次很普通却很准确的状态纠正：Michaelson 以为自己有备用计划，但并未真正实施。重启他认为是“主解析器”的服务后，家中依赖网络的设备陆续失灵。他由此发现，那里没有主备两套服务，只有一套。

来源没有给出中断时长、网络拓扑、设备清单、数据包记录或安全影响。无需补造这些信息。现有证据已经足够说明：意图、配置与运行结果不是同一个状态。一张图可以画出第二台解析器，而第二个进程尚未启动；路由器可以写入两个 DNS 地址，而客户端只收到一个；客户端可以保存两个地址，却从未在故障时选择第二个；替代解析器也可能恢复普通查询，却没有同步原服务的拦截或重定向规则。

中断发生在重启时，韧性缺口形成得更早

可见故障由重启触发，但备用能力的缺失早已存在。这个时间差决定了维护动作的性质。如果管理员相信替代路径已被验证，停掉一个端点看起来只是一次局部操作；如果替代项只存在于脑中，同一个动作就会变成以真实用户为对象的依赖测试。

Michaelson 把依赖面写得很清楚：DNS 重启会让家庭网络上的其他功能停止；修改路由器可能中断整个无线网络；改变路由器的 DNS 配置又会影响 DHCP，造成设备重新获取配置的“冻结—解冻”过程。因此，他提出的三个问题并不是“有几台机器”，而是哪些设备依赖这个组件、它们是否会采用替代服务，以及出错后能否恢复旧状态。

两套进程若位于同一主机，就共享主机故障；两台设备若使用同一电源，就共享断电；两个地址若由同一路由器下发，就共享路由器与其配置错误；两份从同一错误模板复制的配置，也共享人为失误。“独立”不是装饰词，它必须说明哪一种故障不会同时拿走两条路径。

下发地址，只证明下发意图

RFC 恰好划出了证据边界。RFC 2132 规定，DHCPv4 的选项 6 可以按优先顺序提供一组 DNS 服务器。RFC 3646 为 DHCPv6 定义了一项相应机制，可向客户端解析器提供一个或多个 IPv6 递归 DNS 服务器地址。RFC 8106 则允许 IPv6 路由器通告携带一个或多个 RDNSS 地址，并为其设置有效期；有效期为零时，这些地址不得继续使用。

这些机制描述的是配置如何被发布。抓取 DHCP 选项或路由器通告，可以证明某一时刻设备打算发送什么，却不能证明电视、手机、电脑或传感器实际保存并选择了什么。RFC 6419 记录过多接口系统之间缺乏一致做法：有的按接口保存 DNS 列表，有的只保留全局列表；接收多个列表时，选择与退避方式也不同。它不是对 Michaelson 家庭设备的现状调查，却足以否定“路由器页面等于所有客户端状态”这一假设。

RFC 9520 提供了另一条边界。桩解析器可以配置多个递归解析器地址，也可以尝试另一台服务器或另一种传输方式。但标准没有保证某个具体客户端一定会在某个时限内切换。只有当所有可用服务器都无法为给定查询提供有用数据时，才构成解析失败。因此，“通告了两个地址”与“用户在故障中仍得到有用答案”之间，仍有一段必须实测的运行行为。

连通性恢复，不代表本地策略恢复

这次家庭部署不只是把查询转发到外部。Michaelson 说，他使用 Pi-hole 与 AdGuard，并把一些已知域名重定向到非根域地址。于是，策略一致性成为备用验证的一部分。假设首选解析器会拦截某个广告域名或返回本地地址，而备用解析器给出公开答案：家庭网络看似恢复，原本希望保留的行为却消失了。

来源没有证明发生过安全事件，也没有证明真实存在策略绕过。谨慎的结论是：故障切换应同时回答两个问题——解析是否继续，本地预期策略是否继续。只恢复前者，是部分成功，不是完整凭证。

家庭网络需要的是短凭证，不是企业仪式

最有力的反驳也来自原文：多数家庭能够接受偶发中断，并不需要企业级冗余。维持两套解析器、同步规则、分离故障域、抽查多类设备，可能比一次短暂断网更费力。若把个人教训变成繁重合规，反而失去比例感。

合理做法可以只占一页维护记录：写下解析器 A 与 B 的运行位置，以及它们共享的主机、电源、交换机、路由器和上游；保留 DHCPv4、DHCPv6 或 RDNSS 下发的地址与有效期；抽查几种差异明显的客户端；短时撤下首选解析器；分别查询普通域名与一项受本地规则影响的域名；在能够观察时记录真正应答的端点与恢复时间；最后恢复原配置并核验回滚。

这不能证明所有设备、查询类型、传输方式与故障模式。它的价值在于完成一个有边界的案例，并明确剩余盲区。替代服务真正运行，计划才成为备用；客户端在故障中能使用它，备用才成为韧性；旧状态可以可靠恢复，这套韧性才可维护。

来源