摘要

  • LocalRoot 消除了许多面向公共根服务器的小型交互，却把完整根区的获取、验证与更新变成解析器运营者自己的持续义务。
  • Ilyas Rahimi 的受控实验中，BIND、两种 Unbound 配置和 Knot Resolver 的日均传输量都高于论文采用的传统查询基准；决定差异的主要是更新频率与实现逻辑。
  • 这不是“LocalRoot 必然更费带宽”的普遍结论。四日测试台、七日 RSSAC 数据和一个缺陷主导的异常值都要求结论保持边界。

安静下来的只是其中一条线路

传统解析器在缓存无法回答时向公共根服务器发送查询。每次交换很小，但持续发生。LocalRoot 把根区完整副本放到解析器附近，普通根查询不再跨越外部网络；代价是解析器必须追随公共根区的发布状态。

Rahimi 将两种交互统一换算为“每个解析器每天多少字节”。传统侧使用 2026 年 1 月 1 日至 7 日的 RSSAC002 聚合数据；LocalRoot 侧在虚拟测试台里观察 1 月 20 日至 23 日。被测对象是 BIND、基于 DNS 传输的 Unbound、基于 HTTPS 获取的 Unbound，以及 Knot Resolver。

传统侧也不是一个常数。论文表格中，多数 root letter 的日均值约为 0.67–1.34 MB，f-root 则是 11.18 MB 的离群值。后续规模估算采用跨 roots 约 2 MB 的平均数。这些数值来自聚合流量、包长区间与近似 unique-source 数量，不能伪装成每台解析器上的直接计量。

同样的根区，不同的更新行为

BIND 按 SOA serial 变化进行 DNS 传输，每次约 1.45 MB，四日平均 4.35 MB/日。DNS-based Unbound 每次约 1.31 MB，平均 3.93 MB/日。每天发生多少次实际根区变更，直接决定总量。

HTTPS-based Unbound 在所测配置里每 30 分钟下载一次约 2.19 MB 的完整根区，每天 48 次，总计 105.12 MB。论文根据与 Unbound 高级开发者的个人沟通，将未先检查 serial 的行为认定为缺陷。这个数字属于特定实现路径，不能被写成 HTTPS、Unbound 或 LocalRoot 的固定成本。

Knot Resolver 同样使用 HTTPS，却大约每天完整获取一次，四日平均约 2.65 MB。运输协议相同，账单却相差近四十倍；关键变量是是否先判断变化、多久检查一次、是否增量获取，以及失败后怎样重试。

下载成功尚未取得使用权

2026 年 7 月更新的个人 Internet-Draft 提出更完整的顺序。实现先发现或配置根区发布源，再优先选择高效来源；HTTP HEAD 或根 SOA 查询可用于新鲜度检查，避免每次都下载完整内容。较旧 serial 必须拒绝，当前来源失败时换源，来源耗尽后等待一个 refresh interval。

字节到达之后，候选根区仍不能启用。实现必须验证 ZONEMD，并用配置的 IANA 根 trust anchor 通过 DNSSEC 验证该 ZONEMD。只有链条全部成功，副本才能进入服务状态。副本不可用或被判定过期时，解析器应恢复对 Root Server System 的普通查询，失效上限不得超过当前 SOA expire。

RFC 8806 规定了已成立的底线：取得包含 DNSSEC 记录的完整根区；数据与公共 DNS 根保持一致；只向同一主机上的解析器提供服务；绝不继续服务 stale data。本地执行改变交付位置，并未取消公共发布、信任锚或回退依赖。

研究没有证明什么

LocalRoot 观察窗口只有四天，传统流量窗口只有七天。测试台比生产网络简单，研究不测延迟、CPU、运维复杂度、混合部署与真实事故。规模分析还把 RSSAC unique source 当作解析器数量的近似。不同版本、配置和根区变化节奏可能改写比例。

因此最可靠的发现不是某个倍率，而是一条审计纪律：查询次数不是总字节，总字节不是正确性，验证成功不是最新状态，查询外移减少也不是端到端隐私。低流量可能意味着更新已经停止；高流量可能来自重复下载；当前副本也可能因为回退失效而留下服务风险。

把一次更新拆成可追溯凭据

至少分别记录：客户端根查询次数与字节、刷新检查、来源选择、有效下载与重试字节、AXFR/IXFR/HTTPS 模式、软件版本和配置、SOA serial/refresh/expire、ZONEMD、DNSSEC、候选 hash、激活或隔离、过期与回退、延迟、仍然存在的观察者，以及用户实际解析结果。

这些记录可以共享同一个更新周期标识，但不得合并成“LocalRoot 正常”。单一绿灯无法解释解析器究竟在服务已验证的新副本、循环下载旧文件、等待验证，还是已经回到远端根。

来源

Rahimi 研究报告、NLnet Labs 项目登记、APNIC 访谈摘要、个人 Internet-Draft与 RFC 8806。