探究DNS对不存在域名请求的弹性处理

APNIC Labs 的实验方向

APNIC Labs 近期开展了一项实验性研究，重点观察 DNS 系统在面对不存在域名解析请求时的处理行为。其核心目标是提升 DNS 基础设施对随机名称攻击（random name attacks）的弹性与韧性。

技术背景与读者意义

在实际网络运维中，随机子域名攻击是一种常见的 DNS 资源耗尽手段。攻击者通过发起大量查询随机生成的、并不存在的域名（如 random123.example.com），试图耗尽递归解析器或权威服务器的处理能力。

DNS 协议标准规定，对于不存在的域名应返回 NXDOMAIN 响应。然而，不同 DNS 实现对于此类请求的处理效率、缓存策略（如是否缓存否定响应）以及限流机制存在差异。理解这些处理机制，有助于运维人员：

• 优化递归 DNS 服务器的缓存配置，合理设置否定缓存 TTL；
• 部署响应速率限制（RRL）缓解随机查询冲击；
• 通过监控 NXDOMAIN 比例及时发现异常解析请求。

APNIC Labs 的研究指向一个关键问题：如何让 DNS 更果断地说“不”，并高效完成这一过程，从而保障正常解析服务的可用性。

对于使用本站 DNS 查询工具的读者，可关注解析返回状态，若频繁出现 NXDOMAIN 且伴随高延迟，可能暗示本地递归网络或上游存在异常。详细实验方法可参考 APNIC 原文。