摘要
- DNSOP 委派重验证草案第 14 版把“仍然有效”定义为一项集合判断：父区仍返回同一委派点，新旧父侧 NS 至少有一个名称重合；若缓存前后都见过 DS，还必须至少保留一个相同的委派签名者。
- 若 NS 集合完全换新、DS 集合完全换新，或者 DS 在空与非空之间切换，算法便认为层级形状或权威已经变化；该点及其下方的缓存数据不得继续使用。严格模式与机会式模式对可用性和信任的取舍并不相同。
- 交集是解析器的连续性判据，不是迁移授权书。运营侧应另建一份“委派过渡回执”，把预期保留项、父子两侧状态、TTL、注册变更依据、退役时点和回滚负责人绑定起来。这是 Daniel Kade 的建议，不是 IETF 规范。
一条 DNS 委派同时存在于父区与子区。父区给出转介用的 NS、必要的胶水地址，以及启用 DNSSEC 时的 DS。子区在自己的区顶点发布权威 NS，并由相应服务器提供地址与内容。RFC 1034 要求两侧管理员保持 NS 和胶水一致，但协议并没有一笔原子交易替双方同时改完。
于是，正常运行的网络也会出现两种“真相”。父区可能使用很长的固定 TTL，子区却希望用较短 TTL 快速切换服务器。注册局已经受理父侧变更，子侧配置仍在传播；或者子侧已经改完，父侧队列尚未执行。为了缩小应答，权威软件还可能不在普通响应的 Authority 部分附带区顶点 NS。若解析器不主动查询，它可能从未看到子区自称的最新服务器集合。
2026 年 9 月 2 日发布的 Delegation Revalidation by DNS Resolvers 第 14 版试图把这种处理变得可预测。Datatracker 将它列为活跃的 DNSOP 工作组 Internet-Draft，目标是标准轨道的 Proposed Standard，目前处于“等待工作组主席推进”，将在 2027 年 3 月 6 日到期。它可以更新或被替代，并非 RFC，也不是强制所有解析器部署的命令。
草案的算法包含三条相连但不能混为一谈的路径。解析器跟随父区转介后，应专门向子区服务器询问区顶点 NS，并按照 RFC 2181 的可信度排序，让权威的子侧答案优先于非权威的父侧副本。与名称服务器相关的 A、AAAA 地址也应尽量从权威来源重新取得。最后，解析器必须定期回到父区，确认委派没有被撤销、移走或彻底换成另一套权威。
“仍然有效”是怎样算出来的
解析器需要记住父区当时列出的名称服务器名称、这组 NS 的 TTL，以及见过 DS 时的 DS TTL。待检查的区切成为“重验证点”。解析器向父区提出区内问题，再把当前转介与缓存快照比较。
连续性首先要求父区仍然给出同一个重验证点。其次，新旧父侧 NS 集合至少要有一个名称相同。若旧快照与新快照都含 DS，两组 DS 还必须至少共享一个委派签名者。后一条件不能从叙述中删掉：只说“留一台名称服务器就算连续”，会把签名权威的变化抹去。
算法没有要求多数重合。四个旧 NS 可以变成一个旧 NS 加三个新 NS，只要其他条件成立，集合仍相交。DS 轮换时也可以让一个旧签名者与新签名者并存。这样的设计给渐进迁移留下空间：运营者不必在某一秒把全部入口一起切断，也不必让所有递归缓存立刻抛弃区切以下的状态。
反面规则同样明确。父区不再返回转介、转介改到另一个区切、NS 全部换新、DS 全部换新，或者 DS 从空变为非空、从非空变为空，都代表层级形状或权威发生了变化。此时，重验证点及其下方缓存的所有者名称数据都不得继续使用。实现可以立即清除，也可以通过缓存代际让旧数据不可达；对后续查询而言，效果必须等同于删除。
因此，这个交集判据必须窄。它只负责让解析器决定“现有缓存链还能不能沿用”。它不负责判断留下的那个 NS 属于旧供应商、共享任播平台、注册商托管服务，还是一个被忘记的依赖。它也不证明服务器没有失陷，更不证明注册人签署了这次迁移。
父区决定委派是否存在，子区描述自己怎样服务
子区顶点 NS 在数据排序上更可信，因为子区对该 RRset 有权威；父区 NS 是转介信息。草案建议在触发查询进行的同时发出专门的 NS 验证查询。成功后，后续解析可优先使用子侧集合。若查询失败或得到无数据响应，父侧集合仍保持最高可用排序，服务可以继续。
但子侧权威不等于它能永远续写委派。父区才决定这个名字是否仍被委派、是否已经改派或被移除。如果解析器只因频繁查询而不断刷新子侧 NS，它可能在父区撤销旧运营者以后仍依赖旧服务器。“幽灵域名”风险正来自这种时间断裂。
胶水地址使边界更复杂。转介附带的地址常常是到达子区的必要引导，却可能不是权威数据。第 14 版建议重新查询地址 RRset。若权威回答包含完整且可用 DNSSEC 验证的地址集合，可以直接提升可信度；否则仍需单独查询。当更可信的地址全不可达时，实现可以把低等级胶水保留为最后手段。
从可用性看，这个回退很实用；从审计看，它意味着一次抓取无法还原解析器到底走了哪条路。应答时间、地址可达性、缓存排序、验证查询是否完成，以及旧胶水是否被启用，都会改变真实权威路径。
严格与机会式不是同一个开关
严格模式可以暂缓触发查询的回答，直到解析器确认内容来自“以权威方式取得的名称”和“以权威方式取得的地址”。它减少伪造与旁路观察风险，却把坏掉的子侧 NS 或地址变成硬失败；若不允许回退，用户没有可用路径。
草案因此建议，把严格提升限制在根区和由根区直接委派的区。更深层的子区管理质量参差不齐，若一律严格，解析器可能为了提高证据等级而制造大面积不可用。
机会式模式通常先完成用户查询，再在旁路取得更可信的基础设施数据。若某个子区错误地拒绝明确的区顶点 NS 查询，解析器应放弃对该区使用这套算法，退回父区转介。它保护当下服务，却不能声称具有与严格模式相同的权威链强度。
所以，“已启用委派重验证”不是充分的产品说明。运营者必须知道启用了哪一种、在哪一层启用、失败后保留什么数据，以及用户回答是否等待验证。否则，同一个成功率指标会掩盖完全不同的安全与可用性成本。
最短的三个 TTL，还要面对解析器的下限
重验证最迟应在三者中的最短 TTL 到期时触发：父侧 NS TTL、存在 DS 时的父侧 DS TTL、子区顶点 NS TTL。父侧时钟限制撤销或改派后旧委派还能被信任多久；子侧时钟让子区能够要求更快重新观察自己的服务器集合。
与此同时，草案建议解析器设置“可承受的合理最小 TTL”，防止恶意区用极短值迫使解析器和权威端不断做验证工作。草案没有给出一个全网通用数字。
这意味着，运营者不能把自己发布的最短 TTL 当作全球撤销承诺。解析器的最小下限可能延长实际观察周期；失败负缓存、预取、查询热度和网络异常也会让各地缓存的边界不同。TTL 是上游发出的时间信号，不是所有递归系统同时执行的墙钟。
RFC 9520 要求缓存解析失败，避免一个失败点触发激进重试。第 14 版还提醒，重新取得 NS 和地址可能显著增加权威端流量。每查询工作上限与失败缓存并非性能附件：若“提高权威可信度”的方法可以被迫无限做功，它本身便会成为攻击面。
不一致报告只是证据
解析器发现父侧 NS 与子区顶点 NS 不同，可以按照 RFC 9567 同时向父区和子区的报告通道发送信息。第 14 版为这种不一致提出一个 Extended DNS Error，但编号仍是 TBD，尚不能写成 IANA 已完成分配。
草案特别指出，不一致不一定造成解析失败。分阶段迁移、父区固定 TTL、操作队列延迟都可能让两侧暂时不同，同时仍能正常应答。反过来，查询成功也不证明残留入口经过授权。
一份报告最多说明：某个解析器在某个时刻看到了哪两组数据。它不能认证注册变更，不能裁定父侧或子侧谁应修改，也不能证明交集是有意安排。运营团队应把报告作为对账线索，而不是自动归责结果。
给过渡状态配一份回执
设想一个域名从运营商 A 迁往运营商 B。父区先加入 B 的服务器，却暂时保留 A 的一个名称；DS 也保留一个旧签名者完成轮换。对解析器而言，这是可接受的连续状态。对迁移团队而言，它必须是一座有期限的桥。
问题在于，DNS 包里没有“为何保留”的字段。数周后，旧运营商可能认为合同已经结束，新运营商认为父侧仍未收尾，注册局只看见成功执行的局部变更，事故人员则把那个共同名称当作别人负责的遗留项。
“委派过渡回执”应先冻结四份快照：旧与目标父侧 NS/胶水、旧与目标 DS、旧与目标子区顶点 NS、全部名称服务器的权威地址。然后精确写出哪些 NS 名称、哪些签名者被允许重合，保留原因是什么，最晚何时退出。
回执还要连接控制面：注册局或注册商变更编号、旧新 DNS 运营者、批准最终移除的人、可以回滚的人。回执本身不是身份认证，也不应存放可重用凭据；它只是把可公开观察的集合变化接到一条有责任人的操作链。
时间部分应分别记录父 NS TTL、父 DS TTL、子 NS TTL、算法最短触发点，以及对解析器 TTL 下限的假设。“旧平台停止接受配置”“父区删除旧 NS”“旧服务器停止权威应答”“监测不再看见旧路径”是四个不同事件，不应被一个含糊的“迁移完成”覆盖。
监测还要区分严格与机会式观察。机会式解析成功，不证明严格路径不会因坏掉的子侧数据而失败。若计划使用全新集合，回执应预先说明缓存失效与查询冲击，而不是在切换后把它们当成无缘由事故。
关闭回执需要双边收敛证据：父区和子区进入目标状态，计划交集已经退出，旧运营者不再意外提供权威服务，回滚窗口已正式结束。解析器不读取这份文档，草案也没有要求它。它解决的是协议之外的人类问题：那一点连续性究竟是否经过授权。
来源
会员简报
档案背景详情
使用相应会员等级登录，即可解锁完整简报与来源注释。
仅限 Strategic Circle
Strategic Circle
所有读者均可浏览。加入并登录后可解锁档案简报。
加入 Strategic Circle仅限 Leadership Alliance
Leadership Alliance
符合条件的 IP 资产所有者和管理层可登录查看 Leadership Alliance 简报。
加入 Leadership Alliance