.lan 的新 gTLD 申请

原文 ↗ Hacker News 讨论 ↗

一个将“.lan”作为公开互联网顶级域名的新申请，让许多网络管理员感到不安，因为“.lan”长期以来一直被家用和小型企业路由器非正式地用于内部设备名称。评论者警告说，这可能导致危险的名称冲突和流量泄漏，尤其是明文服务，并认为 ICANN 应当将 .lan 保留给私有用途，或改用已经指定的域名，如 `home.arpa` 或 `.internal`。也有人建议采取实际缓解措施，例如在解析器处阻止 .lan，或为内部网络迁移到已注册域名，同时批评 gTLD 的整体扩张更多是出于收入而非技术需要。

背景：.lan 与现有使用情况

  • 许多家用和 SMB 路由器（例如基于 OpenWrt 的、Ubiquiti 以及其他设备）默认会为 LAN 设备分配 hostname.lan。
  • 用户常常为了方便而依赖这一点，有时还会向这些名称发送明文流量。
  • 一些部署（dnsmasq、Pi-hole、RPZ 列表）已经将 .lan 视为仅本地使用，并阻止转发到公共解析器。

安全与隐私担忧

  • 将 .lan 设为公开 gTLD 有风险：
    • 内部主机名通过 DNS “泄漏”到互联网。
    • 原本用于内部服务的流量可能被发送到任意外部服务器，从而导致钓鱼、凭据捕获，或敏感数据被错误路由。
  • 过去现实中的冲突案例（例如 .box 与 fritz.box）被引用为警示。
  • 有人认为这类似于在私有网络中使用未分配的公网 IP 地址段所带来的问题。

私有命名空间的替代方案

  • RFC 8375 为家庭网络定义了 home.arpa；批评者不喜欢它的长度、两级结构，以及晦涩的 “arpa” 参考。
  • .internal 已被 ICANN 自 2024 年起保留用于内部使用，并被建议作为更安全的选择。
  • .local 被保留给 mDNS，且被认为不适合 Active Directory 之类的用途。
  • 文中还提到 .alt（RFC 9476）、保留的类似 ccTLD 代码（.qm–.qz、.xa–.xz）以及单字母伪 TLD，但这些都被认为不直观。
  • 许多人更倾向于在内部 DNS 中使用已注册域名或其子域（例如 internal.company.com），这样也能受益于公共 TLS 证书。

ICANN 流程、异议与治理

  • 新 gTLD 需经过 Name Collision Risk Management Framework；高风险字符串（如 .corp、.home、.mail）此前曾被“无限期延后”。
  • 有人希望 .lan 也会被如此分类；也有人指出，由于许多路由器本就阻止 .lan 向上游解析，因此泄漏指标可能会被扭曲。
  • 正式异议渠道有限（字符串混淆、法律权利、“有限公共利益”以及社区异议），而且费用很高，因此草根反对很难。
  • 关于责任的争论：
    • 一方认为：ICANN/IANA 是应当尽早为 .lan 保留该名称的 “DNS 警察”。
    • 另一方认为：用户和厂商明知未保留名称仍在使用，相当于在冒险。

对 gTLD 扩张与 .dev 先例的看法

  • 许多人认为 gTLD 的激增主要由收入驱动，增加了钓鱼/诈骗面，却几乎没有终端用户价值。
  • .dev 案例经常被提及：它曾被广泛用于本地开发；Google 的申请文本似乎暗示会加以保护，但随后被商业化出售，破坏了工具和配置。

实际反应与建议

  • 有些人计划继续使用 .lan，但在解析器处将其阻断，使公网 .lan 域名实际上无法访问。
  • 另一些人正在迁移到 .internal、home.arpa 或自有域名，或者添加搜索域，这样用户仍可输入较短的主机名。
  • 普遍看法是：将 .lan 作为公开 gTLD 既没有必要，又会造成混淆（毕竟其含义是 “Local Area Network”），且很可能有害；不过也有少数人强调，使用未保留的 TLD 本来就一直存在风险。