DNS Flag Day 2020 将目标对准 IP 分片问题。DNS 作为少数大量使用 IP 分片的协议，在 UDP 传输中易超出路径 MTU 导致分片，而分片机制脆弱且引发安全隐患，需通过协同行动逐步消除对分片的依赖。
历史背景与 2019 年成果：
DNS Flag Day 由 DNS 软件厂商与运营商发起，旨在通过协同发布新版本移除对错误行为的兼容代码。2019 年 2 月 1 日首次活动针对权威服务器错误处理 EDNS 的变通措施，推动全球 DNS 实现趋于标准化。
IP 分片在 DNS 中的成因与风险：
DNS 过 UDP 传输时，报文可能超出路径 MTU（以太网标准 1,500 字节，VPN 等封装进一步降低有效值），触发 IP 分片。IPv6 要求发送端分片并依赖 ICMP 消息，但防火墙常误拦截该消息。Geoff Huston 实测认为 IPv6 分片“难以修复”。分片还削弱安全性：DNS Query ID 与 UDP 端口仅在首个分片中，便于攻击者伪造响应。
协同治理的必要性：
单一厂商禁用分片支持会导致用户转向仍兼容的软件，因此需跨厂商、跨运营商同步行动。Flag Day 机制通过统一发布时间表，迫使生态整体向无分片或更安全的传输（如 TCP、DoT、DoH）演进，减少对脆弱分片路径的依赖。
对运维工程师而言，需检查权威与递归服务器是否正确处理大报文、是否启用 TCP 回退、防火墙是否放行 IPv6 ICMP Packet Too Big。同步升级到 Flag Day 认可的软件版本，可规避分片导致的解析失败与缓存投毒风险。
原文: APNIC Blog（2020-09-17）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog