摘要

  • RFC 10001 要求每个区域至少由两台 IPv4 可达、两台 IPv6 可达的权威 DNS 服务器提供服务。同一台双栈服务器可以在两个地址族中各计一次，因此四份回执并不必然代表四台物理设备。
  • NS、A、AAAA 和胶水记录说明计划如何委派；运行回执还要证明整条路径不借用另一个地址族，指定服务器确实收发查询，TCP 回退可用，而且两个地址族提供等价的权威数据。
  • Tobias Fiebig 与 Momoka Yamamoto 共同署名这份2026年8月发布的最佳当前实践。它是一项 IETF 协作成果，不证明任何作者、大学、注册机构或服务商已经控制或部署了某个生产区域。

变更评审桌上有四个空格：服务器甲的 IPv4、服务器乙的 IPv4、服务器甲的 IPv6、服务器乙的 IPv6。每一格都要填写时间、观测点、查询对象、UDP 与 TCP 结果，以及返回的权威数据。

这张表最重要的地方，不是数字四，而是禁止合并证据。

运维人员很容易把四个地址填进四格。两条 A 记录、两条 AAAA 记录都已发布，NS 也能从父区看到，于是“双栈完成”。但地址存在只说明解析器可能往哪里发包，不能说明包能到达，DNS 进程在监听，返回内容正确，或者整个路径没有偷偷借用另一地址族。

RFC 10001 正是为这种差距提供共同语言。它在2026年8月成为 BCP 91 的新文本，并取代 RFC 3901。早期规则主要在 IPv6 尚未普及的环境中维持 IPv4 连续性；新文档面对的是 IPv4-only、IPv6-only 与双栈网络长期并存的现实。

文档把“可达”定义成运行事实。IPv4 可达服务器必须能够通过 IPv4 收到并回答 DNS 查询；IPv6 可达服务器也一样。定义没有把 A 或 AAAA 的存在当成替代品，也没有预先承诺返回的数据相同。

因此，一个区域必须至少有两台 IPv4 可达和两台 IPv6 可达的权威服务器。一台双栈服务器可在每个集合中计一次。两台双栈服务器可能满足四格；四个地址如果都落在失效的同一进程上，则一格也不能算作已证明。

四格不是四个故障域

回执数量还不能代表独立性。两台服务器可能共用一个负载均衡器、一条上游链路、一次软件发布和同一个值班团队。它们在正常时给出四份成功记录，却可能在一次共同变更中同时消失。

RFC 10001 延续了权威服务器应考虑地理与路由策略多样性的传统，但四份回执的直接含义仍是“服务器 × 地址族”。采购和架构评审必须另外记录共同依赖，不能从计数推断四套独立设施。

这种分离也适用于委派。NS 记录选定负责的名字；A 或 AAAA 把名字关联到地址；当名称位于被委派空间内部时，父区提供胶水，避免“要先问这台服务器才能知道这台服务器地址”的循环。名称在区外时，它自己的区域和父链又成为依赖。

RFC 9471 规定胶水在委派应答中的角色。RFC 10001 再提出地址族独立性：IPv4 的父区解析、同级名称与胶水不能依赖 IPv6；IPv6 路径也不能依赖 IPv4。评审对象不是最后一条 AAAA，而是从根到目标权威服务的完整链条。

双栈测试机可能把错误隐藏起来。IPv6 尝试失败后，递归解析器改走 IPv4，应用仍拿到答案。对当前用户，这是韧性；对运维证据，这是一次被成功结果覆盖的故障。

研究数据说明为何不能只数 AAAA

2023年的论文 How Ready is DNS for an IPv6-Only World? 以完整委派链为研究对象，Tobias Fiebig 是七位共同作者之一。论文列出多种破坏 IPv6-only 解析的情形：NS 名称没有 AAAA、父区缺少胶水、区内名称在子区缺少相应记录、区外 NS 所在区域不可解析，或者父区本身无法通过 IPv6 到达。

论文的数字必须保留年代和方法边界。其数据表明，2022年8月所观察区域中有44.9%无法通过 IPv6 解析；十家 DNS 运营者关联到数据集中24.8%的剩余失败区域；2017年1月，一家服务商补充 IPv6 胶水后，超过4560万个区域的结果发生变化。

这些不是2026年的全球现状，也不能脱离被动数据、主动测量与观测位置重新解释。它们真正支持的是影响机制：DNS 服务集中后，一个共享的胶水或委派缺口可以影响大量区域。

到达服务器后还要检查传输

小型 UDP 应答成功，不能代表大型 DNSSEC 应答也能完成。有效路径 MTU、分片与中间设备丢弃，可能只在应答变大时出现。RFC 8900 把 IP 分片视为脆弱机制；RFC 9715 给出 DNS over UDP 的分片规避建议。

RFC 10001 要求提供 DNS over TCP 作为回退，而不是依赖分片 UDP。RFC 9210 是这一运行要求的直接依据。于是每格至少要区分 UDP 成功、TCP DNS 事务成功，以及从截断转入 TCP 后是否在解析器时间预算内完成。

端口开放或 TCP 三次握手并不等于 DNS 回答。回执需要保留真实查询、响应码、权威位、时延和应答大小。对大型应答的测试也不能借用另一地址族，否则只证明了回退体系中的另一条路径。

数据本身是下一层。RFC 10001 要求 IPv4 与 IPv6 传输提供等价 DNS 数据。分阶段发布时，一侧可能加载新区域，另一侧仍保留旧 SOA、旧 DNSKEY 或旧委派。两侧都“可达”，用户看到的权威状态却不一致。

等价不一定是逐字节相同。记录顺序、签名、anycast 落点和合法响应策略会产生差异。运营者应预先说明比较哪些事实：SOA 序列、DNSSEC 状态、关键 RRset、委派和权威性；并说明哪种差异会阻止上线。

回执必须写清观测者

“IPv6 正常”缺少可复现条件。有效记录应包含 NS 名称、目标地址、地址来源、父区与胶水路径、纯 IPv6 或纯 IPv4 观测点、UDP/TCP 结果、返回数据、时间和变更编号。

观测点决定结论的范围。服务商机房内能访问，不代表另一个自治系统或地区也能访问。外部探针更接近用户，却仍只代表自己的路径。专业做法不是追求无法实现的全网证明，而是选择覆盖重要用户与故障域的多组观测点，并如实限制每份回执的外推范围。

责任也应逐项对应。区域所有者管理子区数据；父区或注册机构管理委派与胶水；权威服务商管理区域加载、监听和容量；网络团队管理路由、过滤与 MTU；监测团队决定探针与证据保存；业务负责人决定一格缺失时是否推迟变更。

如果没有这些所有者，红格只会引发互相引用。DNS 团队展示 AAAA，网络团队展示路由，服务商展示内部探测，应用团队展示一次成功解析。每项都可能真实，却没有一项替代 IPv6-only 用户的完整链路。

人物贡献的准确边界

TU Wien 官方简介显示，Tobias Fiebig 于2026年3月1日出任计算机网络教授，并领导 Internet Infrastructures 研究组。研究范围包括互联网测量、安全、协议开发、DNS、SMTP、BGP，以及可靠运行所需的组织与协作问题。

这个背景有助于理解 RFC 10001 的写法：先定义可观察状态，再讨论跨团队依赖。但它不能变成个人发明或部署权的证明。RFC 与 Momoka Yamamoto 共同署名并代表 IETF 共识；2023年论文由七人共同完成。

这种方法与 Heng Lu 所强调的运行代码优先相呼应。记录是协作起点，真实应答才是服务证据。两者都重要，但不能相互冒充。

最小初始规范则解释了为何 RFC 不规定某一种厂商、拓扑或监控软件。公共层只固定互操作所需的最低条件：按地址族可达、委派独立、数据等价、避免脆弱分片并支持 TCP。具体怎样做到，由运营者选择并承担证据责任。

把四格用于上线与事故

上线前，团队应先填完新服务的四格，再拆除旧服务。父区和子区数据需要经过计划的缓存时间；每个地址族从对应单栈环境完成整条委派；UDP、TCP 和大应答都被实际执行；关键权威数据通过比较。

旧服务的撤除应晚于稳定观察窗口。过早删除会让仍缓存中间状态的解析器失去退路，也会让团队在出现差异时缺少对照。此时的风险不是“记录没传播完”这么简单，而是恢复路径正在减少。

事故发生时，四格把“DNS 故障”拆成可定位的第一断点：NS、地址、胶水、区外依赖、父区、路由、过滤、UDP、TCP、区域版本或超时。每种断点有不同所有者和修复动作。

递归解析器也是链的一部分。RFC 10001 建议递归服务采用双栈；单栈解析器可以通过转换机制，或把失败转给双栈解析器。但两个分别只懂一个地址族的解析器不能把无法处理的查询互相转发，否则一个在两边都不可解析的名字会形成循环。

这再次说明，回退不是无主的安全网。它有方向、容量、策略和失败方式。它救回查询时，也应留下原始地址族失败的痕迹。

四份回执不会让区域永远安全。它们随时间失效，受观测点限制，也可能共享故障。但它们足以让上线决定建立在可复现事实之上，而不是建立在“双栈”这枚无法审计的标签上。

来源