摘要

  • 轮换前，APNIC 标出 50 个新 KSK 接受率低于 50%、且至少有 1,000 次支持 Sentinel 测试的网络；到 10 月 18 日，全部录得超过 50% 的接受率。
  • 单次预警适合作为跟进队列的入口，不能直接当成网络故障或用户服务中断的名单。

一个信号可以准确描述它观察到的现象，却不足以直接给出判决。10 月 11 日 DNS 根区密钥签名密钥（KSK）切换前，APNIC Labs 识别出 50 个网络，对新密钥的测得接受率低于 50%。轮换后，APNIC 表示这 50 个网络都在 10 月 7 日至 13 日间加入了新密钥，并在之后录得超过 50% 的接受率。最初那张快照标出的状态，没有在任何一个网络上持续下去。

这条时间线比“通过”或“失败”的标签更有解释力。准备度不是事件前测一次就固定下来的属性，而是在一段明确窗口中变化的状态。运营上的问题因此不只是某个网络在某一天是否低于阈值；还要看信号是否持续、是否有人能采取行动，以及变化后测量结果如何。

APNIC 的筛选规则很关键。50 个网络来自前一周新密钥接受率较低的列表，并且每个网络至少有 1,000 次测试显示支持 Key Signing Key Sentinel 机制。这样的测试量比少数探测更容易解释，但网络标签并不是该网络所有解析器或所有终端用户的完整清单。这个信号只说明，在该方法下被抽样测试观察到了什么。

时间边界也很重要。根区在 10 月 11 日 14:00 UTC 开始使用新密钥。APNIC 把之后 48 小时视为验证解析器可能仍在使用缓存根区 DNSKEY 数据的窗口。报告所述的 50 个网络在 10 月 7 日至 13 日间加入新密钥，跨度覆盖了签名切换前后。因此，证据支持一个有限结论：被标出的群体，其测得接受率在过渡期上升。公开资料没有说明每个网络的变化来自自动信任锚更新、运营人员操作、外部联系还是其他因素。

这改变了早期预警的使用方式。计划中的变更发生前读数偏低，正因为仍有时间调查，才有价值。但预警应当开启一个待跟进事项，而不是提前结束分析。有效记录应把初始信号、观测窗口、样本范围、可能的联系或配置操作，以及后续结果串在一起。缺少这条链，就无法分辨是预警消失、样本改变，还是服务状态真的改变。

也不应把阈值直接等同于故障边界。“接受率低于 50%”描述的是特定样本里的测量比例，并不证明某网络一半用户失去了可用的信任路径。DNSSEC 验证失败需要更具体的条件链：解析器启用了验证、本地信任锚无法使用，而且某次查询的验证实际失败。APNIC 的 Sentinel 观测能揭示密钥状态行为，但它不是直接的中断计数器。

因此，这项结果补充了根区状态，但不能取代它。IANA 记录新 KSK 在 10 月 11 日开始签署根区，这确认了权威层的切换。APNIC 的样本说明一组被观察网络在切换前后的行为。解析器运营方则最有条件检查本地信任锚以及服务影响。每一层回答的都是不同问题。

APNIC 还报告，切换前曾联系一家大型印度 ISP，原因是 Sentinel 信号显示其解析器尚未接受新密钥；报告称其测得验证率在轮换期间上升。这个例子说明预警能为及时沟通提供依据，却不能证明这次联系解释了全部 50 个网络的变化。公开资料没有为整个群体提供因果拆分，一项个案不应被推广成普遍原因。

更有用的成功标准，不是轮换前是否出现过预警，也不是之后预警是否消失，而是能否区分短暂信号和持续状态、把后者交给有责任的运营方，并记录到底改变了什么。在这组数据中，50 个网络越过了早先的阈值，但公开证据没有解释其变化机制。这不是测量失败，而是检测与归因之间的边界。

来源