DNS-OARC在RIPE 70前举办的研讨会揭示了DNS自1980年代诞生以来必须应对的巨大变化：从每秒百万级查询的任何播部署、DDoS缓解、DNSSEC密钥滚动风险，到执法协作与现代解析器行为，核心协议正面临从UDP向TCP、从明文向签名数据的架构性转型。
任何播与流量规模：
研讨会重点讨论如何运营广泛分布的任何播DNS服务，承载每秒超过100万次查询。同时探讨可部署哪类DDoS缓解措施，在不损害DNS核心服务的前提下抵御攻击。原文未给出具体缓解方案的性能数据，但明确指出任何播架构下的流量调度与攻击吸收已成为运维核心难题。
DNSSEC部署与密钥滚动风险：
DNSSEC被视为防止DNS欺骗、为上层信任体系提供安全基石的关键，但研讨会指出其关键管理规范尚不完整。密钥滚动时因缺乏完善的过渡机制，存在使部分用户滞留在旧密钥上而导致解析失败的风险。原文未给出具体滚动失败率或受影响用户比例，仅强调转换过程本身带来的不确定性。
协议演进：从UDP到TCP、从明文到签名：
DNS最初设计为轻量级UDP协议，替代线性检索的HOSTS.TXT文件，解决了早期大型机环境下因名单过长导致的登录超时问题。随着无处不在的手持设备与微秒级网络普及，协议核心虽保持惊人稳定，但必须适应更大的响应报文、更多TCP传输开销，以及DNSSEC签名数据的引入。这种从小包UDP查询/响应向大包、TCP、签名数据的转变，正在重塑整个系统的资源模型。
对运维与网络工程师而言，研讨会明确了三大行动方向：在任何播集群中平衡吞吐与抗DDoS能力、在DNSSEC密钥滚动中避免旧锚点导致的解析中断、在协议栈中为更大响应报文与TCP回退预留资源。这些问题不再是理论探讨，而是生产环境必须立即解决的工程课题。
原文: APNIC Blog（2015-05-14）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog