Nominet 的 Ray Bellis 开发的极简 DNSSEC 服务器，用几百行 C/C++ 代码实现即时签名与无限随机子区，单实例 400 qps，三并行达 1,000 qps，将 APNIC Labs 的 DNSSEC 实验能力从日均百万级提升至千万级，并支持故意错误签名以测试验证端行为。
即时签名架构与性能：该服务器基于 evldns（libevent 与 ldns 组合），在测试硬件上单进程可维持 400 queries per second。签名开销由 CPU 密码运算决定，无需预生成区文件，避免了 BIND 重新加载 750,000 个静态签名区耗时 4 小时以上的问题。代码已在 GitHub 开源。
并行扩展与实验规模：APNIC Labs 将其改造为三实例并行，聚合吞吐约 1,000 queries per second。按持续速率换算，日处理 80 million queries，对应 10 million experiments，远超原有不足 one million 的水平。这种线性扩展模式使大规模主动测量成为常态化操作。
故障注入与验证测试：服务器内置逻辑可主动生成错误签名区，配合测量平台识别真正执行 DNSSEC 验证的解析器。原文未给出具体验证率数据，但该能力填补了以往仅能观测“能否解析”而无法区分验证与否的盲区。
对运维与网络工程师而言，这套轻量组件证明：用即时签名替代静态区文件，能以极低资源成本支撑互联网级 DNSSEC 可用性度量，代码开箱即用，可直接纳入自有测量管线。
原文: APNIC Blog（2014-11-26）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog