2019 年 2 月 1 日起，主流开源 DNS 软件厂商不再兼容权威服务器的非标准响应，未适配 EDNS 扩展的域名将面临解析失败风险，运维需立即排查防火墙与服务器配置。
协议收紧机制：主流解析器停止容忍非标准响应
BIND、Unbound、Knot、PowerDNS 等主流开源解析器协同约定，自 Flag Day 起不再对不符合 EDNS 规范的权威服务器做兼容性回退。此前，解析器会在收到格式错误、超长或缺失 EDNS 选项的响应时尝试降级重试；新版本将直接丢弃此类响应并返回 SERVFAIL。权威服务器若仍返回不带 EDNS 标头的应答、拒绝 EDNS 查询、或对 DO 位处理异常，均会导致使用更新后解析器的客户端无法解析该域名。原文未给出具体部署版本号或采用率数据。
排查与修复步骤：防火墙与服务器双重验证
运维应先在 dnsflagday.net 运行在线测试，确认权威服务器对 EDNS 查询的响应是否合规。重点检查两类常见故障：一是防火墙或中间设备丢弃超过 512 字节的 DNS 报文，导致带 EDNS 扩展的查询无应答；二是权威服务器软件版本过旧，不支持 EDNS0 或对 COOKIE、KEEPALIVE 等选项处理错误。Petr Špaček 的就绪检查工具可自动化上述验证；InternetNZ 的 Sebastan Castro 另提供详细测量方法与 Facebook Live 录像供深入排查。原文未给出具体测试通过率或故障分布统计。
多方协同推进：软件厂商与测量社区联动
Flag Day 由主要开源 DNS 实现厂商发起，旨在通过统一截止日期倒逼生态合规，而非单方面强制升级。测量社区同步提供可观测性支撑：InternetNZ 持续扫描全网权威服务器的 EDNS 兼容性，公开测量数据与分析报告，帮助运维评估影响面。APNIC 博客汇总上述资源，形成「测试—修复—复测」闭环参考。原文未给出参与厂商完整名单或后续 Flag Day 计划时间表。
对权威服务器运维而言，DNS Flag Day 不是一次性事件，而是协议合规的新基线；建议纳入常规巡检，持续监控 EDNS 兼容性，避免因防火墙规则老化或软件版本滞后导致解析中断。
原文: APNIC Blog（2019-02-01）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog