YD/T 3845.3-2021 标准解读

一、核心指标体系梳理

• 解析成功率：单日统计周期内，成功返回权威应答（RCODE=0）的递归查询请求数占总查询请求数的百分比，阈值≥99.99%
• 平均响应时延：对A/AAAA记录查询请求的端到端RTT均值，单位毫秒，阈值≤100ms
• 超时率：查询响应时间＞5000ms的请求占比，阈值≤0.1%
• 缓存命中率：命中本地缓存并直接返回的查询请求数占比，阈值≥85%
• 权威服务器可达性：对根及顶级域权威服务器ICMP/Ping探测成功率，单次探测间隔≤60s，成功率≥99.9%
• EDNS0支持率：支持EDNS(0)扩展协议的递归服务器比例，要求100%支持
• DNSSEC验证通过率：对已签名域名执行DNSSEC验证并成功验证链完整性的查询占比，阈值≥95%
• 异常查询识别率：对NXDOMAIN泛洪、随机子域扫描等恶意查询模式的实时识别准确率，阈值≥98%
• 日志留存完整性：完整记录QUERY/RESPONSE报文头字段（含QNAME、QTYPE、RCODE、RA、RD、CD、AD位）的查询占比，阈值100%
• 接口数据上报时效性：监管信息交换接口（REST over HTTPS）中指标数据从采集完成至上报平台的时间延迟，阈值≤300s

二、关键参数精准释义

1. 解析成功率：分子为QTYPE∈{1(A),28(AAAA)}且RCODE=0且ANSWER SECTION非空的查询数；分母为所有QTYPE∈{1,28}的递归查询总数；排除客户端主动中断、TCP重传失败等非服务侧原因导致的失败
2. 平均响应时延：以递归服务器收到首个UDP查询报文起始，至发送最终响应报文结束的时间差；仅统计RCODE=0且无截断（TC=0）的响应；剔除因EDNS缓冲区协商失败导致的重试时延
3. 超时率：以5000ms为硬性超时门限，包含上游无响应、上游返回SERVFAIL后未重试即放弃等情形；不含客户端设置的Query Timeout
4. 缓存命中率：命中条件为QNAME+QTYPE+Class匹配本地缓存有效条目且TTL＞0；不包含Negative Cache（如NSEC/NSEC3记录缓存）
5. DNSSEC验证通过率：仅针对QNAME存在DS记录且父域签名有效的域名；验证过程须完成完整的信任锚→父域→子域签名链校验；CD=1或AD=0的查询不参与统计
6. 异常查询识别率：基于RFC 7816定义的“QNAME随机性熵值＜3.5”、“同一源IP每秒QPS＞50且QNAME前缀差异率＞90%”等规则判定；以人工标注样本集为基准计算F1-score

三、参数合格区间界定

四、参数管控实操建议

• 日常管控：部署专用探针集群，按每15分钟粒度采集各递归节点出口流量镜像，使用eBPF程序提取DNS报文五元组及响应特征；解析成功率与超时率须采用双向流匹配（Request-ID+TSO）消除乱序影响
• 数据统计：所有指标按UTC+0时区每日00:00:00起切片；缓存命中率统计须排除TTL≤30s的短生存期记录；DNSSEC验证通过率按域名后缀（.cn/.com/.org）分组统计并加权聚合
• 偏差修正：当平均响应时延超标时，优先核查上游权威服务器RTT分布及本地EDNS缓冲区大小配置（推荐≥4096B）；缓存命中率偏低时，需审计负缓存策略（如NODATA缓存时长是否超过父域SOA.MINIMUM）；日志缺失须强制启用pcap-ng格式全量报文捕获并校验syslog传输可靠性