APNIC自2010年起使用商业DNSSEC签名器部署反向区域DNSSEC。2019年RFC 8624推荐ECDSAP256SHA256算法，APNIC将DNSKEY从RSASHA1迁移至ECDSAP256SHA256，过程约一周未破坏信任链。但新算法导致商业签名器CPU在每日重签名时负载过高，厂商无解决方案。APNIC测试Bind 9.16与Knot 2.9两款开源替代方案（RIPE NCC已迁移至Knot），PowerDNS因需手动密钥翻滚被排除。测试在虚拟机上并行加载生产区域并应用相同监控工具进行。
原文: APNIC Blog（2021-02-25）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog