2026 年 10 月 11 日，全球域名系统（DNS）的根区密钥签名密钥（KSK）将完成一次历史性轮转：旧密钥 KSK-2017 停止签名，新密钥 KSK-2024 正式接管根区签名。这是继 2018 年之后，互联网历史上第二次根密钥轮换。对于部署了自建递归 DNS 且开启 DNSSEC 校验的企业网络，若未提前适配，届时将出现大面积域名解析失败（返回 SERVFAIL），内网业务、官网、API 服务全部中断。

本文从原理出发，讲透 KSK 轮转的机制、时间表与风险设备类型，并给出可落地的自查与适配清单，帮助运维团队在窗口期内完成整改。

一、DNSSEC 与 KSK：全网 DNS 的信任锚

DNSSEC（域名系统安全扩展）是一种给 DNS 记录加数字签名、防止解析结果被篡改的安全机制。普通 DNS 只负责把域名翻译成 IP，但不验证结果是否被劫持；DNSSEC 通过密码学签名，确保解析结果「真实、未被中途修改」。

整个 DNSSEC 体系有一个「信任起点」，即根区的 KSK（Key Signing Key，密钥签名密钥）：

KSK：负责对根区的密钥集合进行签名，是全网 DNSSEC 信任的「总公钥」；
ZSK（Zone Signing Key）：负责日常对根区记录进行签名。

所谓「轮转」（Rollover），就是定期更换这把「总公钥」，防止旧密钥因长期使用而被破解。ICANN 与 IANA 会提前数年生成并发布新密钥，给全球递归解析器留足适配时间。

二、本次轮转的时间表与规则

据 ICANN 官方公告与 IANA 信任锚页面，本次轮转的关键节点如下：

2024-04-26：新密钥 KSK-2024 生成，密钥标签（Key Tag）38696
2025-01-11：KSK-2024 首次发布到 DNS 根区
2025-02-10：支持 RFC 5011 自动更新的解析器应开始信任新密钥
2026-10-11：根区开始只用 KSK-2024 签名，KSK-2017 不再签名
2027-01：KSK-2017 正式退役

核心规则有两点：

1. 双密钥共存过渡期：根区此前已同步发布新旧两套密钥记录，为全网预留了充足的同步窗口；
2. RFC 5011 自动更新机制：现代 DNS 软件（BIND、Unbound、PowerDNS 等）通过 RFC 5011 协议，在观察到新密钥 30 天后自动信任。据 ICANN 数据，目前超过 95% 的解析器已成功采用 KSK-2024。

但剩下的不足 5%，几乎都集中在「无人维护」的企业自建设备上——这正是本次事故的高发区。

三、哪些设备面临故障风险

需要明确：只有开启了 DNSSEC 校验的递归解析器会受影响。普通终端、使用公共 DNS 的业务不受直接冲击。企业内部以下三类设备是重灾区：

1. 自建递归 DNS 服务器：BIND、Unbound、PowerDNS 解析集群，广泛部署在政企内网、IDC 机房、云环境中。老旧版本、静态写死旧信任锚、RFC 5011 自动更新异常，都会导致轮转后校验失败；
2. 防火墙 / UTM / 一体化网关：许多商用防火墙、UTM、网关设备内置 DNSSEC 校验模块，但固件长期不升级，无法自动获取新 KSK，是最容易踩坑的硬件设备；
3. 工控 / 物联网边缘网关、测试环境 DNS 节点：这类设备固件更新慢、存储权限受限，自动信任锚更新机制失效，往往被运维遗忘，故障爆发后直接影响生产业务通信。

特别提醒：故障不一定是 10 月 11 日当天立即爆发。受 DNS 缓存 TTL 影响，问题会在缓存过期后分批显现，排查难度显著提升，切勿等到截止日期再处理。

四、适配实操：自查与更新步骤

判断是否适配，核心就一件事：确认新密钥的 Key Tag 38696 是否存在于信任锚文件中。

不同软件对应的信任锚文件：

ISC BIND：bind.keys
Unbound / PowerDNS Recursor：root.key
Knot Resolver：root.keys

第一步：搜索 Key Tag 38696

在常见信任锚文件中搜索新密钥标签

grep -r "38696" /etc/bind/bind.keys /var/lib/unbound/root.key 2>/dev/null

用 dig 验证本机 DNSSEC 校验是否正常

dig +dnssec . DNSKEY | grep 38696

第二步：若搜索不到 38696，按以下顺序排查

1. 确认 RFC 5011 自动更新已开启，且解析器对存储目录有写权限；
2. 检查系统时间——时间错误会导致自动更新失败；
3. 检查防火墙规则——若拦截 DNSKEY 查询，自动更新无法获取新密钥；
4. 手动更新信任锚文件，或升级 DNS 软件至最新版本。

第三步：升级后复测

重启解析器后，重新验证

dig +dnssec . DNSKEY +short | grep -c 38696

五、常见误区

误区 1：「外网访问都正常，应该没事」
当前「正常」很可能是缓存尚未过期。DNSSEC 故障具有延迟触发特征，缓存一过期就批量爆发，不能以「现在能上网」作为判断依据。

误区 2：「我们用的公共 DNS，不受影响」
完全依赖公共 DNS、没有自建递归解析器的，确实不受影响。但许多企业是「混合」架构——内网自建解析 + 出口走公共 DNS，内网那台自建设备同样会挂。

误区 3：「等出问题再处理」
届时全网同步出问题，排查窗口极短，且受缓存影响故障点分散、难定位。提前适配的成本远低于事后抢修。

六、FAQ

Q：DNSSEC 根 KSK 轮转是什么？
A：DNSSEC 的根区密钥签名密钥（KSK）是全网 DNS 安全的总信任锚，ICANN 定期换新密钥以保证密码安全。这是 2018 年后的第二次轮转，新密钥 KSK-2024 将于 2026 年 10 月 11 日接管根区签名。

Q：我怎么知道是否需要处理？
A：只有开启了 DNSSEC 校验的自建递归解析器需要处理。用公共 DNS 的普通用户、终端设备不受影响。

Q：Key Tag 38696 是什么？
A：38696 是 KSK-2024 的密钥标签，用于在信任锚文件里标识新密钥。检查 bind.keys / root.key / root.keys 里是否包含这个数字，是判断是否适配的最快方法。

Q：不更新会怎样？
A：10 月 11 日之后，你的解析器 DNSSEC 校验失败，大量域名查询返回 SERVFAIL，内网业务、官网、API 全部无法解析访问。

Q：怎么更新？
A：优先确认 RFC 5011 自动更新已开启、系统时间正确、防火墙未拦截 DNSKEY 查询；无法自动更新的，手动更新信任锚文件或升级 DNS 软件。

相关服务（时代互联）

作为在域名与 DNS 服务领域深耕二十余年的服务商，时代互联（now.cn）在为政企客户做巡检时发现，KSK 轮转这类事件中，最容易出问题的不是「技术难度」，而是「无人知晓、无人负责」。如果你正为自建 DNS 的运维与安全发愁，可以从以下栏目开始了解：

域名注册（https://www.now.cn/domain/）（.com、.cn、.top 等 100+ 后缀，配套解析管理）
SSL 证书（https://www.now.cn/ssl/）（配合 DNSSEC 构建完整的域名安全链路）
云服务器（https://www.now.cn/fcloud/highcloud.php）（多机房可选，满足自建解析集群的部署需求）
云虚拟主机（https://www.now.cn/vhost/）（托管建站场景，免去自建运维负担）

行动建议：今天登录你的 DNS 服务器，跑一次 grep -r "38696" /etc/bind/bind.keys /var/lib/unbound/root.key，确认新密钥已就位；没有自建 DNS 的，确认出口走公共 DNS 即可。10 月 11 日前把这件事落实，你的网络就与这次全球轮转无关。

（数据来源：ICANN 官方公告、IANA 信任锚页面、ICANN 官方博客，数据截至 2026 年 8 月。）