DNS 透明度是保障基础设施安全的关键环节。虽然 DNSSEC 能够验证响应的真实性与时效性，但攻击者若能欺骗域名注册商，使其误认为自己是域名持有者，便能篡改委托记录甚至 DNSSEC 密钥。这种篡改后的 DNS 可用于满足基于 DNS 的所有权证明测试，进而获取新的 TLS 证书，最终导致 TLS 协议被攻破。因此，注册商与域名持有者之间的初始关系是 DNS 生态系统中持续存在的重大漏洞。许多注册商已采用多因素认证来加固这一关系，并建议实施注册锁以防止未经授权的更改。
DoH 与 DoT 的选择
在传输层加密方面，DoH 与 DoT 各有优劣。DoH 将 DNS 查询封装在 HTTPS 中，利用现有的加密通道，能够绕过防火墙对 DNS 端口的阻断，但可能被防火墙识别为常规 HTTPS 流量。DoT 则使用独立的 UDP 端口，不易被识别，但可能面临端口阻断的风险。根据 OARC 31 的讨论，用户对这两种协议的偏好取决于具体的网络环境与安全需求。
Facebook 的 CoreDNS 迁移实践
Facebook 在构建新的权威名称服务器时，曾长期使用 tinydns，该服务虽然快速高效，但在支持 IPv6、基于 CIDR 的标记以及 ECS 等扩展功能时存在局限性。面对日益增长的功能需求，Facebook 在开源服务器中进行了评估，最终选择了基于模块化设计的 CoreDNS。经过原型开发、测试与分阶段部署，CoreDNS 在运行一年后证明其能以更低的内存和处理器开销满足查询负载需求。
原文: APNIC Blog（2019-11-06）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog