摘要

  • Paul Wilson 在 2017 年宣布，APNIC 资助 ISC 在 BIND 中实现 NSEC 积极缓存，使验证型递归解析器可复用已签名的否定证明。
  • APNIC 当年活动报告列明这笔资助；ISC 在 2018 年 1 月正式发布包含该功能的 BIND 9.12。

给 DNS 根服务器减压，直觉是再添一台。APNIC 以前确实这么做过：Wilson 在 2017 年文章中说，自 2002 年以来，APNIC 在 21 个经济体协助或资助了至少 29 台根服务器实例。接着他把问题反过来：如果解析器已经知道答案是否定的，为什么还要让根服务器再回答一次？

这里的“知道”有密码学依据。DNSSEC 的 NSEC 记录可以签名证明一段名称不存在。RFC 8198允许验证型递归解析器缓存这种证明；在有效期内，落入已证明空档的其他名称也可以在本地得到 NXDOMAIN。普通缓存记住一个问过的名字；积极使用 NSEC，则用同一份证据回答一串不同的错误名字。根服务器无需陪每个“幽灵域名”重复演出。

Wilson 让 APNIC 资助 ISC 将机制写进开源 BIND。APNIC 2017 年活动报告明确列出对 BIND 9.12 实现的支持。ISC 的 开发说明确认 APNIC 资助和本地合成否定答案的机制；其 2018 年 1 月 23 日发布公告把 NSEC Aggressive use 列为正式功能。这条时间线从倡议走到了可安装的软件。

这也是一位注册局负责人很少见的投资选择：把预算投到别人的解析器，而不是只扩建自己的节点。根的容量仍重要；能在边缘处理的空问题，也不必都运到中心去。