文章探讨DNS碎片化攻击风险及缓解方案。实验室模拟互联网DNS部署环境，含多根服务器、顶级域及数百二级域，测试BIND 9、Knot、Unbound、PowerDNS及Windows Server DNS等解析器。验证DNSSEC为最佳方案但部署缓慢，测试三种TCP-only模式：普通TCP、TCP保持连接、TCP快速打开。TCP虽免疫碎片化攻击，但增加延迟与资源消耗。实验确认缓解措施能阻止碎片化攻击。原文未给出具体性能数据。
原文: APNIC Blog（2022-12-13）｜摘要由 AI 辅助整理，事实以原文为准。
来源：APNIC Blog