DNS Sinkhole（DNS黑洞）用途已知，其可扩展性如何？

嘿，关于DNS Sinkhole（也就是大家常说的DNS黑洞），我刚好有不少实践和了解可以跟你唠唠：

核心用途 #

• 通过欺骗DNS服务器，阻止特定URL的主机名被正常解析，切断终端对这些恶意、违规域名的访问路径，是网络安全里常用的拦截手段之一。

常规实现方式 #

• 配置DNS转发器，针对目标URL返回虚假IP地址——通常是指向本地无响应的IP，或者专门用来展示拦截提示的页面服务器，让用户的请求根本到不了真实目标。

我对可扩展性的疑问 #

在实际部署这类方案时，我一直对它的可扩展性打问号：比如当需要拦截的域名量级飙升到几十万甚至上百万时，DNS服务器的查询性能会不会急剧下降？规则更新的效率能不能跟上？这些都是大规模落地时绕不开的实际问题。

有意思的参考案例 #

之前在Security StackExchange上看到过一篇讨论《如何对域名实施Sinkhole？》，里面提到CryptoLocker的作者就用到了类似思路：他们通过部署DNS Sinkhole，拦截了竞争对手的恶意域名，以此保护自己的用户不会被诱导到钓鱼站点或者下载恶意程序。这种反向利用的思路还挺有意思的。

内容的提问来源于stack exchange，提问作者cyzczy