The Cloudflare Blog
·
当DNSSEC出错时：我们如何应对.de顶级域名的故障
内容提要
2026年5月5日，德国.de顶级域名注册管理机构DENIC发布了错误的DNSSEC签名，导致大量域名无法访问。Cloudflare通过将.de标记为不安全区域，绕过DNSSEC验证，恢复了用户访问。此事件凸显了DNS层级结构的脆弱性，以及运营商之间信任与沟通的重要性。
关键要点
-
2026年5月5日，德国.de顶级域名注册管理机构DENIC发布了错误的DNSSEC签名，导致大量域名无法访问。
-
Cloudflare通过将.de标记为不安全区域，绕过DNSSEC验证，恢复了用户访问。
-
DNSSEC通过加密认证确保DNS记录的完整性，但在错误配置时会导致验证失败。
-
在事件发生后，Cloudflare的1.1.1.1解析器实施了负信任锚（NTA）机制，允许用户访问.de域名。
-
此事件强调了DNS层级结构的脆弱性，以及运营商之间信任与沟通的重要性。
延伸解读
DNSSEC的脆弱性
此次.de顶级域名故障事件揭示了DNSSEC在错误配置时的脆弱性。尽管DNSSEC旨在通过加密认证确保DNS记录的完整性，但一旦出现签名错误，整个域名层级的验证都会失败。这提醒我们在使用DNSSEC时，必须重视配置的准确性和及时性。
运营商之间的信任与沟通
事件中，Cloudflare通过标记.de为不安全区域，迅速恢复了用户访问。这一举措强调了DNS运营商之间信任与沟通的重要性。在DNS的去中心化结构中，快速有效的沟通能够显著降低故障对用户的影响，确保网络的稳定性。
负信任锚机制的应用
Cloudflare在此次事件中实施了负信任锚（NTA）机制，允许用户绕过DNSSEC验证。这种机制在处理类似故障时非常有效，但也带来了潜在的安全风险，因为在故障期间，域名可能会面临真实的攻击。因此，运营商需在安全与可用性之间找到平衡。
延伸问答
2026年5月5日.de顶级域名发生了什么事件？
德国.de顶级域名注册管理机构DENIC发布了错误的DNSSEC签名，导致大量域名无法访问。
Cloudflare是如何应对.de域名故障的？
Cloudflare将.de标记为不安全区域，绕过DNSSEC验证，恢复了用户访问。
DNSSEC的作用是什么？
DNSSEC通过加密认证确保DNS记录的完整性，防止数据被篡改。
什么是负信任锚（NTA）机制？
负信任锚（NTA）机制允许解析器将特定区域视为未签名，从而绕过验证，适用于TLD配置错误的情况。
此次事件对DNS层级结构有什么启示？
事件强调了DNS层级结构的脆弱性，以及运营商之间信任与沟通的重要性。
Cloudflare在事件中遇到了什么技术问题？
Cloudflare的1.1.1.1解析器在返回SERVFAIL时未能正确显示DNSSEC错误代码，导致用户误解问题原因。
