摘要

  • DNSOP 工作组当前草案提议：只含一条空目标 NS 记录的 RRSet，可标记子区边界存在，但不提供公共命名空间可用的权威服务器。
  • 它要解决的是移动设备跨越公网与私网时的证据冲突：公网的认证否定不应被误读为所有 DNS 命名空间里的永久不存在。
  • 父区发布、解析器观察、私网路径、子区权威、DNSSEC 验证和应用结果是六件事；空目标不替后五项背书。

“没有服务器”也可以是一条诚实记录

传统委派把两层意思绑在一起：父区先说子区从这里开始，再列出能够找到子区的权威服务器。分割 DNS 需要拆开这两层意思。企业可能把 example.com 放在全球 DNS 中，却只让内部解析器看见 corp.example.com。公网父区知道这条边界，却没有一台可诚实列出的公网子区服务器。

DNSOP 工作组草案第 00 版用一个极窄的语法表达这种事实：NS RRSet 必须只有一条记录，目标是空名称，也就是常写作 NS 加一个点的形式。它的意思不是“子区不存在”，而是“子区边界存在，但父区所在命名空间不给出通往它的权威服务器”。如果同一 RRSet 里还混有普通 NS 目标，即使另有一条空目标，也不属于这项约定。

DNS 已经用过类似的克制。Null MX 表示此域名不收邮件；SRV 的点目标表示此服务明确不可用；AliasMode SVCB 也用空目标表达服务不可用或不存在。这些先例没有证明新用法已经普遍部署，却说明协议可以用“空”来拒绝虚构能力。

真正的冲突出现在设备换网之后

一台笔记本在外网查询内部名称时，支持 DNSSEC 的解析器可能从公共命名空间收到经过认证的不存在证明，并把它缓存。稍后设备进入公司网络，内部权威服务器对同一名称给出肯定答案。解析器若仍把先前证据理解为全局事实，就可能把新的私网答案判为 bogus。

“通往无处的区界”改变的是公网父区的陈述。它不再让公共路径声称下方绝无子区，而是返回一个找不到、也到不了子区服务器的 referral。草案不要求解析器增加特殊处理；它像处理“子区服务器名称无法解析”的普通 referral 一样处理，公网查询仍会停下。

关键在于停下的理由。认证否定说的是“在这条权威树下不存在”；空 NS 目标说的是“这条树承认边界，但不拥有下一段道路”。设备换到另一套 DNS 命名空间后，两句话会导向完全不同的缓存与验证结果。

一条记录不能冒充六张收据

第一张收据是配置：父区管理员确实发布了唯一的空目标 NS。第二张是认证：DNSSEC 可以证明签名父区发布过这组数据。两者都不能识别私网服务器，更不能证明服务器在线。

第三张收据属于观察：某个解析器在具体时刻收到该 referral，并以某个 TTL 和验证状态缓存。中间缓存、实现缺陷或陈旧数据，都可能让“配置了”与“看见了”分离。

第四张收据是换网后的路径。设备必须选择能够抵达私有子区的内部解析器或转发策略。公共空目标不会发现这条路径，也不会授予进入路径的权限。

第五张是子区回答。私网权威可能宕机、签名错误，或向不同网络提供不同视图。第六张才是应用结果：解析成功不代表应用使用了地址，更不代表服务请求成功。把六张收据折叠成“父区已经委派”会重新制造草案试图消除的权威幻觉。

DS 能连接密钥，却不能连接网络

草案允许在空 NS 目标旁发布 DS，形成 secure delegation to nowhere。若父区管理员确实知道私有子区的签名密钥，设备后来在内部命名空间取得子区数据时，就有机会延续 DNSSEC 信任关系。

前提比功能更重要。如果多个私有命名空间中的子区分别使用不同密钥，或有的根本不签名，一条公共 DS 不可能同时代表所有视图。草案因此说，这种情形不应使用安全委派。父区发布 DS，实际是在选择它愿意绑定的权威上下文。

DS 也不会产生可达性。它可以帮助验证已经取得的 DNSKEY 与签名数据，却不会替设备选择解析器、打开企业网络权限，或让应用服务恢复健康。密钥收据和路径收据仍是两张纸。

这是设计提案，不是部署证明

第 00 版是 2026 年 9 月 23 日形成的活跃 Standards Track Internet-Draft，属于工作组进行中的工作，不是 RFC，也不是最终 IETF 共识。文中的根区 INTERNAL 空 NS 示例只是说明，并明确不给 IANA 任何操作指示。

草案记载了实验，并称结果未显示广泛使用必然带来运行问题；同时也承认软件可能作出不兼容假设，大量流量也可能伤及根服务器。领导者应把它理解为待验证风险，而不是兼容性证书。

还有一个直接限制：如果企业为了 ACME DNS-01 临时在公网发布私有子区下的 TXT 记录，它就不能同时维持“这个公共子区没有可用 DNS 发布路径”的纯净模型。最小信号只有在周边配置也说真话时才有价值。

来源