利用 360netlab DNSMon 系统对 24 小时 NTP 池 DNS 流量的分析显示，约 3% 的池域名请求指向无效域名，且这些域名从未提供过时间同步服务；同时，中国地区客户端接入量已接近官方声称用户上限，服务端 IPv6 占比达 27%。
**客户端规模与覆盖**：
官方统计 NTP 池用户 500 万–1500 万、服务器 IP 约 4000 个。DNSMon 在 2020 年 5 月 19 日 18:00 至 20 日 18:00（CST）采集的中国地区数据显示，88 万不同客户端发起过授时请求。考虑到 DNSMon 仅覆盖中国约 5% DNS 流量，实际使用该池的中国设备数极接近官方全球用户上限。同期观测到的时间同步失败设备不足 0.02%。
**服务端分布与协议栈**：
观测到 3758 个池服务器 IP，分布于 97 个经济体与地区，其中 IPv4 2730 个、IPv6 1028 个（占 27.4%）。服务器高度集中于美国、德国、法国、英国等网络发达经济体。DNS 轮询机制使单域名映射大量分散 IP，特征与 Fastflux 相似，给恶意域名检测带来干扰。
**无效域名与安全启示**：
池请求域名中约 3% 为无效域名，且几乎全部从未提供过授时服务。这类域名可能源于配置错误、废弃记录或恶意注册，长期存在会污染 DNS 缓存并干扰合法客户端选址。DNSMon 依托多维数据（Whois、沙箱、蜜罐）已稳定运行 2.5 年，拦截 MSRAMiner、GodLua 等十余类挖矿与 DDoS 僵尸网络，证明持续监测 NTP 池 DNS 行为可兼顾基础设施健康度评估与威胁情报生产。
对运维与网络工程师而言，定期核对池域名有效性、监控 IPv6 服务端比例变化、结合 DNS 流量基线识别异常请求，能同时提升授时可靠性与安全防御能力。
原文: APNIC Blog（2020-07-24）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog