扁平网络因缺乏流量分段、单一广播域，导致恶意流量能在内网快速横向扩散；COVID-19 期间大量居家办公放大了该风险。文章指出，在不改变网络拓扑前提下，利用 DNS 递归解析器作为低成本安全层，可在域名解析阶段拦截恶意请求，为扁平网络提供一道可部署的防线。
扁平网络约束与 DNS 安全层
扁平网络将设备直接连接至单一交换机，未用路由器划分广播域，导致：无流量分段、恶意流量易在内网快速传播。文章建议在保持拓扑不变的前提下，利用 DNS 递归解析器增加一层安全控制。递归解析器位于客户端与权威服务器之间，处理所有域名查询，天然成为过滤恶意域名的控制点。通过在解析阶段拦截已知恶意域名，可在流量进入内网前阻断威胁，且无需额外硬件投入。
递归解析器部署模式的三次演进
早期用户在本地或自建网络运行递归解析器；随后网络运营商（ISP）将其作为免费捆绑服务提供；近年模式再次转移至云/四大公共解析服务，典型代表为 Google Public DNS（8.8.8.8、8.8.4.4）、Cloudflare（1.1.1.1、1.0.0.1）、Quad9（9.9.9.9）。文章强调，解析器的物理距离直接影响解析速度，云服务商通过全球任播节点降低延迟，但也将解析控制权从用户网络进一步外移。
解析就近性与安全策略的权衡
就近解析可降低延迟，提升用户体验；但将递归解析外包给公共云服务，意味着失去在本地执行自定义过滤策略（如阻断恶意域名、执行内部分区解析）的能力。文章隐含提示：若需在扁平网络中通过 DNS 实施安全策略，保持自建或可控的递归解析器仍是必要前提。原文未给出具体延迟对比数据、过滤效果统计或部署成本测算。
对运维与网络工程师的启示：在扁平或居家办公网络中，部署可控的递归解析器可在不改动拓扑的情况下实现域名级威胁拦截；选用公共解析服务虽提升速度，但会放弃本地策略执行权。工程师需在解析延迟、策略自主性、运维成本三者间按业务风险偏好做取舍。
原文: APNIC Blog（2020-07-02）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog