APNIC Labs 利用大规模测量平台，评估全网解析器对根区新 KSK（KSK-2017）的信任锚加载情况，结论是 99.93% 使用哨兵感知解析器的用户已通过 DNSSEC 验证并信任新密钥。
测量方法与 KSK Sentinel：
为观测解析器是否已加载 KSK-2017，APNIC 设计了 KSK Sentinel 机制，通过改变解析器的查询行为来触发验证路径，从而判断其受信密钥集是否包含新 KSK。该工具支持单个解析器与解析器集合的批量测试，避免了人工逐台登录检查的不可行性。原文未给出具体测量样本量与时间跨度，但明确指出测量基于与现有大规模广告投放平台相同的采样基础设施。
解析器基础设施的实际拓扑：
真实 DNS 链路远比“客户端—解析器—权威”三层模型复杂。用户常配置多个解析器并依靠本地超时重试；解析器内部运行热缓存、转发器链、共享缓存的解析器农场；权威端普遍采用任播集群。这种多层、多路径结构导致单次查询可能在多个缓存层级间跳转，难以从外部完整重现解析轨迹。
缓存与转发对滚换观测的影响：
缓存命中会直接返回旧数据，掩盖解析器是否已信任新 KSK；转发器与共享缓存进一步模糊了查询发起者与实际验证者的对应关系。因此，测量必须主动构造未缓存的查询名，并结合 Sentinel 标记，才能穿透缓存层直达验证逻辑，确认 KSK-2017 真正进入受信集合。
对运维工程师的启示是：滚换就绪不能仅看配置文件是否包含新密钥，必须通过主动探测验证解析器在实际查询路径上完成了信任锚更新。部署 KSK Sentinel 或同类主动测量点，配合未缓存查询构造，是确认全网 DNSSEC 信任链平滑过渡的可行手段。
原文: APNIC Blog（2018-09-28）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog