德国联邦网络安全局委托研究显示，仅0.1% DNS流量存在IP分片，且几乎全部来自启用DNSSEC的域名。研究确认分片攻击构成现实威胁，但主流操作系统的随机化IP-ID已大幅降低IPv6风险。
分片机制与攻击面：IP分片将大包拆分为含片段ID的小片传输，接收端重组。IPv4仅用16位ID（65536空间），且源自全局计数器，现代算力下极易猜测；IPv6采用32位ID并随机分配，猜测难度指数级上升。攻击者利用ID可预测性，在分片重组时注入伪造数据，实施DNS缓存投毒。
实测数据与风险分布：研究期为2019年12月至2021年9月。超99% DNS响应走UDP；大多数IPv4/IPv6响应体积低于主流系统MTU阈值，不触发分片。高知名度域名的权威服务器仍会返回分片响应，原文未给出具体域名占比。DNSSEC签名导致响应增大，成为分片主要来源。
缓解措施有效性：随机化IP-ID是核心防御。IPv6因32位随机ID天然抵御猜测；IPv4依赖操作系统层面的随机化实现。研究未量化各缓解措施的具体拦截率，原文未给出具体数据。协议层面推行DNS over TCP或EDNS0缓冲区调整可减少分片触发。
运维应优先确保权威服务器启用IPv6并验证IP-ID随机化；对IPv4环境，建议配置EDNS0缓冲区限制大包、监控分片流量占比。DNSSEC部署需配合TCP回退机制，避免因分片引入新攻击面。
原文: APNIC Blog（2022-09-21）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog