摘要

  • DNS greasing 定期使用未分配扩展值，提前暴露只接受现有代码点的服务器与中间设备，避免协议在真正扩展到来前僵化。
  • 正常查询成功、greased 查询失败，会把怀疑集中到新增条件，却不能证明哪一台权威服务器、代理、负载均衡器、防火墙或路径节点实施了拒绝。

解析器同时发出两次查询。第一份完全普通，用来给用户提供答案；第二份多带一个尚未分配的 EDNS 值，只用于测量。普通查询很快成功，greased 查询超时。

这是一组有价值的证据，但它还不是故障定位。两份报文可能抵达不同的任播实例，命中不同缓存，经过不同传输路径，甚至受到不同限速策略。唯一可以直接确认的是：在这次观测中，带未知值的路径没有产生预期结果。

draft-ietf-dnsop-grease-03 试图让这种观测成为 DNS 的长期维护工具。第 03 版发布于 2026 年 7 月 6 日，是 DNSOP 工作组的活跃 Informational Internet-Draft，不是 RFC、IANA 分配或部署统计。保留范围、详细行为、fallback 和遥测仍未定稿。

未知值必须经常出现

扩展点依赖一个容易退化的承诺：接收者遇到未知值时，按照规范界定的方式容忍它。若多年流量只出现已分配值，软件会把当前清单误当成全部合法世界。防火墙固定白名单，代理收紧解析器，服务器把陌生值当错误。

greasing 在值仍无语义时就定期使用它。正确实现应继续互操作，不耐受路径则提前暴露。草案列出 DNS 头标志、Opcode、EDNS 版本与标志、Class、RR Type 和 EDNS Option Code。不同注册表规模和内部结构不同，不能用一套取值策略覆盖。

RCODE 与 Extended RCODE 被排除，因为它们改变查询方对响应状态的理解。EDNS 选项还包含数据，测试不能只随机代码而忽略数据形状。

一次通过只说明特定值、特定路径和特定时刻得到容忍。它不证明未来真实扩展的语义会被正确执行。

对照加强因果，不替代归因

单独看到 greased 超时，可能只是临时丢包。与近同时刻成功的普通查询配对，能够更有力地把差异指向未知扩展条件。这仍不等于知道拒绝发生在哪里。

权威服务器可能拒绝，前置代理、负载均衡器、防火墙或透明中间盒也可能拒绝。任播会让同一目标地址落到不同实例。普通查询可能命中缓存，greased 查询触发后端工作。若遥测只保存名称和结果，这些解释无法区分。

可靠记录应绑定两次查询的目标、值、扩展点、传输、时间、可见服务器身份、缓存状态、响应或超时和应用结果。只有在条件真正可比时，“唯一变化是 grease”才站得住。

并行策略保护用户延迟，却增加查询量。草案因此建议抽样，而不是复制全部流量。成本被控制后，证据质量仍取决于配对与来源，不取决于总样本数。

重试会恢复服务，也会抹掉第一现场

解析器通常应在失败后不带未知扩展重试；若测试的是全新 RR 类型，移除类型已不再是同一查询，不能简单套用。

正常重试成功是可用性结果，不是 greased 失败的替代结论。只记录最终成功会让路径看起来健康，未来扩展真正依赖该值时才突然暴露阻断。

更危险的是安全降级。若未来扩展承载安全属性，攻击者可诱发失败，迫使解析器去掉扩展重试。greasing 的意义是提前修复不耐受，从而逐步取消这种 fallback，而非把它固化为永久兼容策略。

每次 fallback 都应保留首个事件、触发条件、恢复结果、修复责任人与取消标准。用户得到答案与扩展路径健康是两条指标。

随机空间与保留范围各有债务

从未分配空间随机选择，迫使接收者执行一般未知值规则，却可能撞上未来真实分配。老软件若继续发送或忽略该值，就会与新语义冲突。

专用保留范围隔离了碰撞，也方便识别。但设备可以只放行这段范围，继续拒绝所有其他未知值。测试本身成为新的硬编码例外。

草案记录了争议，并未决定哪些注册表应保留范围。小注册表可能根本无空间；RR Type 等带内部分类的空间可能需要多个范围。任何“已确定 grease 范围”的说法都超出第 03 版证据。

随机方案可以设置测试结束日期。日期只有在运行软件真正停止发包时才有效。注册表状态、软件版本和有效配置必须共同验证，否则旧设备会在代码点获得真实含义后继续把它当噪声。

抽样比例不是生态系统事实

草案用“或许千分之一”作为讨论性例子，不是强制标准。高流量解析器即使抽样很小也会得到大量数据，但大量不等于代表性。

热门域名、大型权威平台、特定地区与时段会占主导。低频旧系统可能正是最不耐受的群体，却几乎不进入样本。多个运营者汇总能扩大覆盖，但其客户、路径、取值与重试策略并不相同。

报告必须给出分母、抽样框、时间、地区、权威对象组成和处理规则。一个没有来源的全球失败率，会把规模包装成授权。

DNS Error Reporting 可向权威运营者发送缺陷线索，但报告是解析器的陈述，还要考虑伪造与送达。它触发调查，不能远程给某台服务器定罪。

响应方发起测试时更看不见结局

权威响应方也可以返回未知头标志、EDNS 标志、选项、版本或 RR 类型。问题是服务器往往看不到查询方随后做了什么：接受、换服务器重试、直接失败，还是让应用报错。

发送记录不等于接收结果。目标实验需要受控客户端、观测通道或用户报告才能闭环。因此草案要求响应方 greasing 默认关闭。

非随机取值还可能形成解析器产品或版本指纹。保持扩展性不应以制造可预测身份信号为代价。

并行对照的价值在于缩小问题，而不是创造全知。它把用户服务与维护测试拆开，把新增条件同普通行为比较。真正的治理要求继续追踪到控制点，修复后再证明 fallback 可以取消。否则，正常查询成功只会成为一张遮住僵化路径的漂亮绿卡。

来源