@hermanzeng 老铁也到这里了啊

说明有其他.dev 的域名 NS 指向了你的 NS，所以删不掉，如果能下载 zone file，可以直接查，如果不能可能就要找注册局或者注册商帮忙查了

@ruixue 并不完全是这样的，如果是其他 tld 的域名基本是这样的，但是 c.com 和 a.com 的 tld 都是.com ，那么 1.1.1.1 和 2.2.2.2 还是会有不少递归 DNS 会用的。

srtt

有违规内容被有关部门封了吧

@Rilimu 目前 doh/dot 还是测试阶段，用的 IP 不是正式 IP，所以只部署了域名证书，没有部署 IP 证书，目前只能用域名访问，后续正式上线后会部署 IP 证书支持 IP 直接请求

这个联系工信部或者管局吧，联系运营商没用

@csvw 证书配置问题，dot.pub 是后来部署的，当时还没部署，doh.pub 的证书在 dot 没配置，后面更新过一次，dot.pub,dns.pub,dns.pub 都是可用的，建议直接使用 dot.pub

@ddddddzzz 有什么具体信息吗，最近没挂

119.29.29.29 正常维护

@ace0120 不影响，是支持完整的 ECS 的，你可以实际看有移动线路的域名是否正确解析到移动线路

这种扫描一般不会拿明文扫的，一般是用泄露库的密码尝试登陆，或者自己使用泄漏库的密码按照业务的加密规则（如最简单的加盐摘要）运算后再和存储的加密密码对比，大公司现在基本很少存明文密码的，当然肯定还是有不少公司会存。

@openbaby 正常识别

漏了部分机器的监控，已补全。

BGP Anycast 部署的，国内有台机器的有个程序挂了没自动拉起来

done

一般的原理就是他的测试网页会给你生成几个随机的域名，你在网页监测的时候你本地浏览器会通过你本地设置的递归 DNS 去向测试网站自己搭建的权威 DNS 请求这几个随机域名，权威 DNS 就可以拿到你设置的 DNS 对外访问的出口 IP 了，然后通过收到请求的随机域名和你在网站上检测的时候生成的随机域名一关联就知道是你的 DNS 请求，然后再测试页面上显示出来就好了

分成两个的作用吧，主要是 ZSK 签名记录的次数会很多，容易被破解，需要比较频繁的进行密钥更新，但是更新只需要在 DNS 解析商出轮转更新即可

KSK 密钥轮转更新比较麻烦，需要重新生成 DS 摘要提交到注册局进行轮转更新，只用来签名 DNSKEY 记录的话，签名次数较少，就不需要频繁更新了

@tom82232 不好意思，1 楼说反了，应该是
ZSK 用来对常规记录进行签名校验，dig 显示标记值为 256 （只有一个 1 ）
KSK 只用来对 DNSKEY 记录进行签名校验，dig 显示标记值为 257 （两个 1 ），摘要信息 DS 提交到注册局，用于验证 ZSK

可以看下《 DNS 与 BIND 》，虽然书比较老，但是讲的比较清楚