Nominet 为英国政府运营 UKPDNS 服务，利用响应策略区（RPZ）技术在解析层拦截恶意软件相关的域名与 IP，实现公共与私有网络的双重防护。
RPZ 双向拦截机制
UKPDNS 采用任播部署的分布式节点，组织仅需将查询转发至两个公网 IP。RPZ 在解析器内部对传入查询的域名（图 1）与权威返回的 IP 地址（图 2）分别匹配封锁列表：前者直接命中恶意域名，后者则在收到 A 记录后发现目标 IP 被标记。两类匹配均可触发拦截动作，形成“查询端+响应端”双向阻断。封锁数据来源于开源与商业情报厂商的区文件，原文未给出具体数据源名称与数量。
情报融合与区文件更新策略
实测不同情报源的重叠度较低，引入多源数据可覆盖更多恶意软件分类。2017 年观测显示情报数据更替频繁，UKPDNS 采取全天高频次重新编译 RPZ 区文件，确保最新威胁即时生效、过期条目及时剔除。为防误伤核心业务，维护一份白名单，涵盖搜索引擎、云服务、企业应用等关键域名，无论是否出现在封锁列表均放行；设计依据是封锁这些资源的负面影响大于潜在恶意软件风险。
拦截动作与落地页呈现
标准 RPZ 动作包括返回 NxDomain、直接丢包、要求客户端改用 TCP 重试。UKPDNS 选择返回托管“拦截页面” Web 服务器的 IP 地址，页面向用户说明 DNS 查询被阻断的原因。原文未给出落地页具体内容、跳转后的后续处理流程，亦未披露该策略对用户体验的量化评估数据。
对运维而言，RPZ 让递归解析器直接成为策略执行点，无需额外中间设备；白名单机制与高频区文件刷新是平衡防护与业务连续性的关键实践，可直接参考部署于企业递归 DNS 或托管解析服务中。
原文: APNIC Blog（2018-03-21）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog