文章指出 DNS 安全与隐私必须从网络边缘的终端用户着手，通过 DNSSEC 验证数据真实性、DANE 实现服务认证，存根解析器是落实端到端加密的关键组件，但 NAT、中间设备与不转发 DNSSEC 数据的解析器构成主要阻碍。
存根解析器面临的边缘复杂性：
存根解析器虽被视为简单组件，却须在最复杂的端到端环境中工作。用户侧常部署 NAT 叠加运营级 NAT、防火墙、IPv4 与 IPv6 共存及转换机制，中间设备还会重写或丢弃数据包。原文图示对比了 DNS 服务复杂度与端到端复杂度，显示存根解析器处理的端到端属性最为繁杂。部分递归解析器不转发 DNSSEC 数据，进一步增加验证难度。原文未给出具体部署比例数据。
DNSSEC 验证与 DANE 认证的核心障碍：
DNSSEC 用于验证 DNS 数据的真实性与完整性，DANE 则通过公钥实现服务认证并可建立 TLS 会话。端点验证常受预算型家用路由器、调制解调器及其他中间设备阻碍，RFC 8027 描述了相关规避机制。原文提到 DNS-over-HTTP 等新发展也会带来新挑战，但未展开细节。两大目标始终是：保证 DNS 数据真实性与完整性，保护用户与 DNS 服务交易的隐私。
端到端加密部署的现实取舍：
加密无处不在的倡议源于 Snowden 揭露的 NSA 大规模监控，推动了 Let's Encrypt 等 Web 流量安全服务与移动端强加密普及。终极目标是保护用户到服务的完整路径，鉴于几乎所有交互始于域名查询，DNS 处于核心地位。但在边缘部署需权衡：存根解析器必须兼容现有复杂网络拓扑，同时推动递归解析器转发 DNSSEC 数据。原文未给出具体部署时间表或普及率指标。
运维与网络工程师应重点排查边缘设备对 DNSSEC 的阻断行为，推动递归解析器正确转发验证数据，并在存根解析器层面落实 DANE 与加密传输，才能真正把认证与加密延伸至终端用户。
原文: APNIC Blog（2018-02-07）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog