ICANN 根服务器分析程序因内存溢出暴露异常流量，Verisign 追踪发现源自 Google AS15169 的大量 NS 查询，其二级标签为 12-13 位随机字符，且未出现在 .com/.net 权威服务器，偏离正常缓存行为，始于 2019 年底。
异常流量特征与来源锁定：
ICANN 托管根服务器的分析程序在处理数据文件时耗尽内存，排查后定位到海量唯一查询名，示例包括 f863zvv1xy2qf.surgery、bp639i-3nirf.hiphop 等。这些查询均针对现有顶级域，二级标签长度固定为 12 或 13 个类似随机字符。Verisign 进一步核实，所有异常查询类型均为 NS，且全部源自单一自治系统 AS15169（Google LLC）。图 1 显示该现象在多个 TLD 中持续出现，且 AS15169 的二级标签长度分布与其他 AS 明显偏离。
缓存层缺失与历史时间线：
最关键的发现是，这些查询名完全未出现在 Verisign 运营的 .com 与 .net 权威名服务器上。图 3 对比 A-root 与 J-root 来自 AS15169 的查询，在二级标签为 12、13 字符时，同时出现在根服务器与 .com/.net 服务器的比例基本为零；10、11 字符标签同样在 TLD 层缺失。这违背了 DNS 缓存的正常预期——若为递归解析触发的根查询，同名请求理应在下游 TLD 权威服务器留下痕迹。历史数据（图 2）确认该流量模式最早可追溯至 2019 年底。
根因推测与运维启示：
文章标题点出「Google's prepending nonce labels」，暗示 Google 在查询名前主动拼接一次性随机标签，可能用于测量、探测或防缓存污染等内部目的。这种行为导致根服务器接收到大量唯一、无缓存价值的 NS 查询，进而冲击分析工具资源。原文未给出具体查询量峰值、Google 官方解释或后续缓解措施。
对网络工程师而言，此案提示需在根服务器或递归层监控异常标签长度分布、单一 AS 高比例 NS 查询、以及根层与 TLD 层查询名不匹配等指标。识别此类预置 nonce 行为，可避免分析管道因基数爆炸而失效，也有助于理解大型云厂商部署的主动测量机制对公共 DNS 基础设施的副作用。
原文: APNIC Blog（2022-06-02）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog