Page 371 - 《软件学报》2026年第4期

1812 软件学报 2026 年第 37 卷第 4 期

数, 其中解析成功的响应状态为 NOERROR、NXDOMAIN, 解析失败的响应状态为 SERVFAIL、REFUSED.
NOERROR 意思是成功的响应, 即这个域名可以正常解析成需要的类型; NXDOMAIN 意思是不存在的记录, 也就
是这个被解析的域名在权威服务器中并不存在; SERVFAIL 意思是服务器失败, 也就是这个域名的权威服务器拒
绝响应或者响应拒绝; REFUSED 意思是拒绝, 也就是这个请求源 IP 不在服务的范围内.

100
80
成功率 (%) 60
40
20
0
2022/3/1 0:00 2022/3/9 0:50 2022/3/17 8:55 2022/3/25 17:00
2022/3/29 21:00
2022/3/21 12:55
2022/3/13 4:55
日期
图 14 递归服务器解析成功率

通过分析解析失败的记录, 发现基本上是因为 SERVFAIL 的响应状态引起, SERVFAIL 的响应状态分 3 种情
况: 1) 递归服务器至权威服务器中间的网络存在异常, 递归服务器在发出递归请求并完成重试超时后, 给请求源一
个 SERVFAIL 的应答; 2) 权威服务器向递归服务器应答 REFUSED, 即当权威服务器不存在主域名及对应的 SOA
记录时, 权威会向递归服务器返回 REFUSED, 即不在我服务的范围内, 递归服务器在收到这个 REFUSED 应答后,
给请求源一个 SERVFAIL 的应答; 3) 当权威服务器存在主域名但是由于区文件被破坏导致权威域上的 NS 记录
异常时, 权威服务器会向递归服务器返回 SERVFAIL 即解析失败, 递归服务器收到 SERVFAIL 应答后, 给请求源
即客户端一个 SERVFAIL 的应答.
表 3 统计了对于不同 DNS 记录的各种应答结果的占比情况. 其中 NOERROR 代表可以解析到正常的结果,
NXDOMAIN 表示用户请求的域名有误, 可能是用户的误操作等原因导致的, 这两种情况都代表域名解析成功的
情况, 占用户请求总数的 97.4% 以上. 解析成功率较高的记录依次为: NAPTR、A、AAAA, 达到 95% 以上, 而 A/AAAA
记录从图 9 中可以看到是用户请求的主要记录. 表 3 显示, 除了 RRSIG 记录, 其他记录的解析成功率都在 90% 以
上. RRSIG 记录解析成功率低也一定程度上说明了很多 DNSSEC 签名无法进行验证, 侧面反映了 DNSSEC 在实
际部署应用中存在的问题.

表 3 不同 DNS 记录应答结果占比 (%)

解析类型 NOERROR SERVFAIL NXDOMAIN REFUSED
SOA 57.565 094 3 8.006 960 5 34.427 945 2 0
A 77.542 446 4 1.889 964 4 20.567 589 3 0
AAAA 81.264 067 6 4.073 141 9 14.662 790 5 0
CNAME 76.510 577 8 15.606 644 9 7.882 777 2 0
NS 83.070 125 16.589 95 0.339 925 0
MX 65.526 94 20.786 455 3 13.686 604 7 0
PTR 30.142 166 7 19.622 610 8 50.235 222 5 0
NAPTR 99.058 650 7 0.791 154 4 0.150 195 0
DS 89.913 667 7 8.210 131 2 1.876 201 2 0
RRSIG 51.811 373 9 48.073 756 4 0.114 869 6 0
全部记录 79.412 2.503 4 18.083 2 0

表 3 中也可以看到, 导致用户解析失败的原因主要由 SERVFAIL 造成, 很少出现服务器拒绝服务的情况. 经
对递归服务向根和权威服务器的迭代查询应答结果统计, 绝大部分的 SERVFAIL 的应答出自第 1 种情况, 即来源