@eason1874
两个问题

#1 部分解析失败需要重试的问题，反馈是公测环境切换到正式环境的 1.12.12.12 和 120.53.53.53 之后，正式环境高负载导致的，上周四、五有部分调整来优化，但是后期还是需要扩容来解决。

#2 解析慢于 ali 的 doh 的原因主要是阿里的公共 DNS 使用了乐观 DNS 缓存，即使缓存中记录 TTL 过期也会返回过期的记录，然后再去重新递归请求。
DNSPod 的公共 DNS 未使用乐观 DNS 缓存策略，如果请求时缓存已过期不会返回给客户端，需要重新递归进行返回；如果请求时缓存记录的 TTL 已经过去了 75%，会将缓存中的记录返回给客户端，同时对该域名进行递归提前预取。
两种策略的优略很明显，乐观 DNS 响应快，但是经常出现解析记录迟迟无法更新的问题，可以见本社区的多个相关帖子反馈。
非乐观 DNS 则相反，两种策略如何选择就是见仁见智，看实际需求选择。
乐观 DNS 缓存策略内部讨论多次，目前暂时没有支持，后续是否支持及时间不确定。

doh.pub 目前国内除了东北之外，其他地区已经都是指向 120.53.53.53 和 1.12.12.12 ，是同一套。
dot.pub 国内已经全量切到 120.53.53.53 和 1.12.12.12 。
已经反馈相关同学，后面看下

目前 dns.pub 还指向老的公测系统，可以使用 https://dns.pub/dns-query 来对比下。但是后期 dns.pub 会仅作为官网域名使用，doh 和 dot 等功能后期会下线。

楼主应该是想在域名注册里修改 NS 地址，但是在解析里看到的 @的 NS 记录不可修改。

域名注册控制台可以正常修改域名的 NS 地址。

域名解析里 @的 NS 记录，控制台上不可以修改，仅支持 API 修改，实在太多自行改掉解析里 @的 NS 记录导致无法解析的问题，API 修改是提高修改门槛，至少要一定的了解才可以改动 @的 NS 记录。

@Clemong 明天下午会灰度完成第一批个人专业版的服务器，灰度一部分 8.8.8.8 理论上就可以解析了。

opendns -> cloudflare

@Love4Taylor
理论上来说也不能算是格式错误，应该说是格式兼容性问题，如下的 NSEC 位图表中的__01 01 00___ ，目前第二段只支持设置 CAA 记录，当请求 CAA 记录时，会将 CAA 记录的位图置为 0 ，此时第二段位图已经没有有效类型，但是并没有将第二段位图整体去掉，依然保留了，opendns 兼容此格式，bind 和 google 会认为是错误格式，已经修改完毕，从免费套餐灰度中。
```
$ dig +dnssec caa iks.moe @ns3.dnsv2.com
;; Got bad packet: FORMERR
353 bytes
cd d8 85 00 00 01 00 00 00 04 00 01 03 69 6b 73 .............iks
03 6d 6f 65 00 01 01 00 01 c0 0c 00 06 00 01 00 .moe............
00 00 b4 00 3e 03 6e 73 33 05 64 6e 73 76 32 03 ....>.ns3.dnsv2.
63 6f 6d 00 0e 6c 65 76 65 6c 33 64 6e 73 61 64 com..level3dnsad
6d 69 6e 06 64 6e 73 70 6f 64 03 63 6f 6d 00 62 min.dnspod.com.b
75 35 17 00 00 0e 10 00 00 00 b4 00 12 75 00 00 u5...........u..
00 00 b4 c0 0c 00 2e 00 01 00 00 00 b4 00 5b 00 ..............[.
06 0d 02 00 00 00 b4 62 7f 82 41 62 6d 0d 41 bb .......b..Abm.A.
e8 03 69 6b 73 03 6d 6f 65 00 e3 58 dd ff 4f be ..iks.moe..X..O.
89 3e 3c e6 12 16 b6 03 00 06 92 2d 98 b2 56 b7 .><........-..V.
8d cd a9 41 8a aa e2 af 43 19 2c ef d8 2b 0f 6c ...A....C.,..+.l
6b 93 79 e5 fa cb 6e 55 d7 c3 9f 4c 94 9f f7 48 k.y...nU...L...H
45 ee e9 e7 0d 44 6b 29 27 d3 c0 0c 00 2f 00 01 E....Dk)'..../..
00 00 00 b4 00 19 01 00 03 69 6b 73 03 6d 6f 65 .........iks.moe
00 00 09 62 01 80 08 40 03 80 00 c0 __01 01 00___ c0 ...b...@........
0c 00 2e 00 01 00 00 00 b4 00 5b 00 2f 0d 02 00 ..........[./...
00 00 b4 62 83 f2 37 62 71 7d 37 bb e8 03 69 6b ...b..7bq}7...ik
73 03 6d 6f 65 00 f7 2e cf 8c de f1 a5 b7 22 43 s.moe........."C
6d b8 0d 1f e9 ba 5e 1b 4d ee a9 cc a3 19 5d 0b m.....^.M.....].
59 57 90 7c 43 c5 b5 d3 29 41 b7 49 82 c0 fd 81 YW.|C...)A.I....
fe f1 1e 12 e4 8a 23 5f 20 e9 86 68 01 02 1f a2 ......#_...h....
4d 22 d9 7b ec fa 00 00 29 10 00 00 00 00 00 00 M".{....).......
00
```

确认没有对未设置 CAA 记录时的 dnssec 请求应答做格式的正确处理，可以先临时随意添加一条 CAA 记录规避，下周 5 前上线完成无 CAA dnssec 失败的问题。

CAA 记录示例：
0 iodef "mailto:[email protected]"

收到，稍后排查后回复

@bclerdx 可以看下 ECS 的 RFC 或者 Google 的开发者文档，返回 scope mask 为 0 表示匹配后续所有网段过来的请求，即任何 IP 过来请求都可以直接应答，就相当于没有设置分线路解析。

doh 国内已经切换了大部分，dot 暂时还没有，这几天吧。海外切换还没有具体时间。

DNSPod 的解析准确性主要靠 ECS 来保证，不能保证分配的后端递归出口 IP 与用户运营商一致。

国内目前 top 网站几乎很少有不支持 ECS 的，所以依然可以准确解析，可以不关注这个结果。海外域名的权威很多需要白名单开启 ECS ，但是开了也解析不到国内，使用哪个运营商基本无影响。

@loukky 可以解决。但是只是顺带的，毕竟这不是 dot.pub 的问题，是京东权威的问题。

当某个海外的 IP 先请求了该域名，且返回了海外的结果之后，如果返回的 scope mask 为 0 ，即作为全局缓存，那么后面其他的任意 Ip 再请求也都会拿到海外的结果，权威的错误返回如下所示（。-> .)。

dig @ns1 。jdcache 。com www 。jd 。com +subnet=8 。8 。8 。8

; <<>> DiG 9 。10 。6 <<>> @ns1 。jdcache 。com www 。jd 。com +subnet=8 。8 。8 。8
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 50719
;; flags: qr aa rd; QUERY: 1, ANSWER: 2, AUTHORITY: 0, ADDITIONAL: 1
;; WARNING: recursion requested but not available

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; CLIENT-SUBNET: 8 。8 。8 。8/32/0
;; QUESTION SECTION:
;www 。jd 。com 。 IN A

;; ANSWER SECTION:
www 。jd 。com 。 120 IN CNAME www 。jd 。com 。gslb 。qianxun 。com 。
www 。jd 。com 。gslb 。qianxun 。com 。60 IN CNAME jd-abroad 。cdn20 。com 。

;; Query time: 137 msec
;; SERVER: 111 。13 。28 。10#53(111 。13 。28 。10)
;; WHEN: Sat Mar 26 21:05:49 CST 2022
;; MSG SIZE rcvd: 119

京东的权威 DNS 对 ECS 的只是不完整或不同服务器数据不一致，可以看以下返回，有时候可以返回非 0 的 scope mask ，有时候返回 0 的 scope mask ，0 表示不支持 ecs 或者没有分线路解析，解析结果将按照全局缓存。

dig @ns1.jdcache.com www.jd.com +subnet=119.6.6.6

; <<>> DiG 9.10.6 <<>> @ns1.jdcache.com www.jd.com +subnet=119.6.6.6
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 59784
;; flags: qr aa rd; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1
;; WARNING: recursion requested but not available

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; CLIENT-SUBNET: 119.6.6.6/32/24
;; QUESTION SECTION:
;www.jd.com. IN A

;; ANSWER SECTION:
www.jd.com. 120 IN CNAME www.jd.com.gslb.qianxun.com.
www.jd.com.gslb.qianxun.com. 60 IN CNAME www.jdcdn.com.
www.jdcdn.com. 720 IN CNAME img20.360buyimg.com.s.galileo.jcloud-cdn.com.

;; Query time: 114 msec
;; SERVER: 111.13.28.10#53(111.13.28.10)
;; WHEN: Sat Mar 26 21:00:02 CST 2022
;; MSG SIZE rcvd: 168

dig @ns1.jdcache.com www.jd.com +subnet=119.6.6.6

; <<>> DiG 9.10.6 <<>> @ns1.jdcache.com www.jd.com +subnet=119.6.6.6
; (1 server found)
;; global options: +cmd
;; Got answer:
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 45079
;; flags: qr aa rd; QUERY: 1, ANSWER: 3, AUTHORITY: 0, ADDITIONAL: 1
;; WARNING: recursion requested but not available

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 4096
; CLIENT-SUBNET: 119.6.6.6/32/0
;; QUESTION SECTION:
;www.jd.com. IN A

;; ANSWER SECTION:
www.jd.com. 120 IN CNAME www.jd.com.gslb.qianxun.com.
www.jd.com.gslb.qianxun.com. 60 IN CNAME www.jdcdn.com.
www.jdcdn.com. 720 IN CNAME img20.360buyimg.com.s.galileo.jcloud-cdn.com.

;; Query time: 124 msec
;; SERVER: 111.13.28.10#53(111.13.28.10)
;; WHEN: Sat Mar 26 21:00:11 CST 2022
;; MSG SIZE rcvd: 168

正式环境的 120.53.53.53 和 1.12.12.12 将增加一层缓存，谷内到省级运营商，国外到国家级，对于普通域名不会再按照网段缓存结果，即同时受 dot.pub 和权威的 IP 库准确度影响。
海外的切换会晚一些时间，未切换前还是完全以权威返回为准，按照网段缓存结果，完全依赖于权威的 IP 库准确度，如果权威的 IP 库不准，那就会解析错误。
国内目前的权威 DNS IP 库准确度比较高的是我们 DNSPod 和 51dns ，部分对比结果可以参照公众号“老高的互联网杂谈”

DNSPod 目前的 DoT 解析结果完全以权威返回结果为准，国内下周将切换到正式环境

@Love4Taylor 相关功能的 API 是有的，但是前端控制台的排期目前不确定

@Love4Taylor 我问下产品

@v2tudnew 这个最低 ttl 限制是 60 秒

@kenvix 其实是 119.29.29.29 这个 ip 被攻击的频率太高，所以不能再继续复用这个 IP 了