The Cloudflare Blog
·
DNSSEC密钥更换失败导致.AL域名瘫痪，1.1.1.1现在告诉你何时绕过验证
内容提要
2026年7月3日，阿尔巴尼亚的.AL顶级域名因DNSSEC密钥更换失败导致验证失败，影响所有使用验证解析器的用户。Cloudflare的1.1.1.1通过引入负信任锚（NTA）解决了这一问题，允许域名在未验证的情况下继续解析。这一事件突显了DNSSEC配置的重要性和潜在风险。
关键要点
-
2026年7月3日，阿尔巴尼亚的.AL顶级域名因DNSSEC密钥更换失败导致验证失败，影响所有使用验证解析器的用户。
-
Cloudflare的1.1.1.1通过引入负信任锚（NTA）解决了这一问题，允许域名在未验证的情况下继续解析。
-
此次事件突显了DNSSEC配置的重要性和潜在风险，尤其是当整个顶级域名受到影响时。
-
在事件发生后，1.1.1.1返回了新的扩展DNS错误（EDE）代码，告知用户DNSSEC验证被绕过。
-
负信任锚的使用虽然可以恢复解析，但在此期间域名不再受到DNS欺骗的保护。
-
EDE 33代码的引入为用户提供了透明度，使他们能够了解DNS响应的验证状态。
延伸解读
DNSSEC配置的重要性
此次.AL域名的DNSSEC密钥更换失败，突显了DNSSEC配置的复杂性和重要性。任何小的配置错误都可能导致整个顶级域名的不可用，影响大量依赖该域名的服务和用户。
负信任锚的风险
虽然Cloudflare通过负信任锚（NTA）解决了.AL域名的解析问题，但在此期间，域名失去了对DNS欺骗的保护。这意味着用户在访问这些域名时，可能面临安全风险，需谨慎对待未验证的DNS响应。
EDE代码的透明性
引入扩展DNS错误（EDE）代码为用户提供了更高的透明度。用户可以通过EDE 33代码了解DNSSEC验证是否被绕过，从而更好地判断响应的安全性。这一改进有助于提升用户对DNS解析过程的信任。
延伸问答
什么导致了阿尔巴尼亚的.AL顶级域名瘫痪？
阿尔巴尼亚的.AL顶级域名因DNSSEC密钥更换失败导致验证失败，影响所有使用验证解析器的用户。
Cloudflare是如何解决.AL域名的验证问题的？
Cloudflare通过引入负信任锚（NTA）解决了问题，允许域名在未验证的情况下继续解析。
负信任锚（NTA）在DNS解析中有什么作用？
负信任锚（NTA）允许解析器将一个区域视为未签名，从而绕过DNSSEC验证，保持域名可访问。
在.AL事件中，1.1.1.1是如何通知用户的？
1.1.1.1返回了新的扩展DNS错误（EDE）代码，告知用户DNSSEC验证被绕过。
DNSSEC配置失败对用户有什么潜在风险？
DNSSEC配置失败可能导致域名不再受到DNS欺骗的保护，增加安全风险。
此次.AL事件对DNSSEC的重要性有什么启示？
此次事件突显了DNSSEC配置的重要性，尤其是当整个顶级域名受到影响时。
