蒙古 ISP 通过重构权威 DNS 为主从架构，成功部署 DNSSEC 保护含在线商店与客户登录的主域及托管子域，核心在于先理解 PKI 机制再解决同步签名难题。
理解机制与部署路径：
作者在 2019 年 9 月首届 mnNOG 研讨会学习 DNSSEC 后，对公司主域及托管子域实施签名。DNSSEC 基于公钥基础设施（PKI），需生成密钥签名密钥（KSK）与区域签名密钥（ZSK）。实测权威服务器部署不复杂，递归服务器仅需在配置文件添加两行即可启用验证，按 ISC 分步指南即可完成，能为全网用户拦截 DNS 相关攻击。
双权威服务器的同步陷阱：
原网络采用两台独立权威服务器互为备份，部署 DNSSEC 时暴露同步缺陷：两台服务器各自生成 KSK/ZSK 会产生不同签名，直接复制密钥也无法统一签名值。原文未给出具体同步失败率或延迟数据。为解决此问题，作者不得不从头重构为主从架构，确保区域数据与签名在主服务器生成后通过区域传送同步到从服务器，这是 DNSSEC 落地的前置条件。
推动落地的三条经验：
作者总结三点给后续部署者：首先须让管理层认清 DNS 协议本身零安全特性，DNSSEC 是必要补丁而非可选项；其次优先完成主从架构改造再动手签名，避免双主结构导致签名不一致；最后善用 ISC 等现成分步指南降低试错成本。原文第三条经验内容未完整给出，仅列出前两点核心建议。
对运维工程师而言，案例揭示 DNSSEC 部署的真正门槛不在协议复杂度，而在既有架构是否支持统一签名；若现网仍用多主权威，先做主从改造再引入 KSK/ZSK，才能把 PKI 信任链真正落地到递归验证层。
原文: APNIC Blog（2020-05-04）｜编译自 APNIC Blog，事实以原文为准。
来源：APNIC Blog