RIPE 70 上 ISC 的 Jim Martin 报告了 DLV 服务退役面临的技术难点，指出大量 Linux 发行版默认依赖 DLV，关闭后会导致未签名域名返回 SERVFAIL，并影响全球大部分未签名区域的解析。
DLV 机制与默认开启风险
DLV 原本用于在根区未签名前让运营商提前部署 DNSSEC，ISC 在 BIND 中实现了该功能但默认关闭。然而代码一旦发布，部分 Linux 发行版在打包时将其设为开箱即用的默认行为，导致大量解析器在没有明确配置的情况下也会向 DLV 查询信任锚。这种“默认开启”使得 DLV 成为隐性依赖，一旦服务停止，依赖它的解析器无法自动回退到正常的 DNSSEC 信任链。
关闭 DLV 对未签名域名的影响
当 DLV 被关闭，已签名的域名仍能通过根信任锚验证，解析正常。但未签名的域名在解析器尝试查找 DLV 记录失败后，会直接返回 SERVFAIL，导致这部分占多数的未签名区域无法被正确解析。这种非平滑降级是退役过程中最大的运维风险。
退役时间表与清理进度
目前约 4,500 个已在真实 DNS 中签名的域名可直接从 DLV 中移除。另有 350 余个“孤儿”域名因父区未签名而无法通过常规链验证，ISC 正在研究 2016/17 年前的解决方案。解析器侧需在 2017 年前完成代码更新，移除对 DLV 的依赖，以便在最小干扰下彻底停止服务。
运维与网络工程师应尽快检查递归解析器配置，确认是否启用了 DLV 查询，并按计划升级或重新编译 BIND 等软件以去除该依赖，避免在 2017 年前出现大规模 SERVFAIL 导致的解析中断。
原文: APNIC Blog（2015-05-20）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog