DNS 根服务器系统虽拥有 13 组逻辑服务器、由 12 个组织运营、全球部署 1,378 个实例，但查询往返时延仍受制于路由选择。仅靠就近部署 anycast 节点无法保证流量落地本地实例，需配合路由策略优化才能真正发挥就近解析优势。
就近部署与路由选择的矛盾：
根服务器运营商在印度孟买、诺伊达等地部署了 i-root 与 k-root 的 anycast IPv4 与 IPv6 节点，但 RIPE Atlas 测量显示，从 AS9498 发起的追踪路由并未命中本地实例，而是经由传输路径转向更远端节点。这种次优路由导致查询流量跨经济体传输，直接增加解析延迟。问题核心在于：物理距离的缩短不等于拓扑距离的缩短，BGP 路由策略若不显式引导流量至最近 anycast 实例，本地部署的收益即被抵消。
Anycast 在抗 DDoS 中的作用与局限：
IP anycast 的设计初衷是让拓扑最近的实例响应查询，同时在遭受 DDoS 攻击时将影响范围限制在特定 anycast 实例区域，避免全网瘫痪。历史攻击事件中，anycast 确实曾将攻击流量吸收在局部连接饱和层面。但 Mirai 僵尸网络攻击 Dyn 基础设施的案例表明，超大规模攻击仍可引发跨 anycast 实例的拥塞蔓延，导致服务不可用。原文未给出具体攻击带宽或持续时间数据。
运行本地根实例的可行路径：
RFC 8806 定义了在本地运行根区副本的机制，允许递归解析器直接加载根区数据，彻底消除对远端根服务器的查询依赖。这种方式绕过 anycast 路由不确定性，将往返时延压缩至本地网络内部。部署时需同步根区更新（通过 AXFR/IXFR），并配置解析器信任锚以验证 DNSSEC 签名。原文未给出具体部署成本或同步延迟指标。
对网络工程师而言，在关键汇聚点部署本地根区副本并配合 BGP 社区属性引导 anycast 流量，可双管齐下降低解析延迟；同时需建立 anycast 实例健康监测体系，提前识别大规模攻击引发的跨区域拥塞风险。
原文: APNIC Blog（2021-05-03）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog