合法测试（需授权）
合法测试（需授权）
dig @ns1.example.com example.com AXFR
dig @ns1.example.com example.com SOA # 先确认权威
dig example.com AXFR +short | head| 传输单位 | 整个 zone 的记录流，以 SOA 开头结尾 |
|---|---|
| IXFR | 只传差异，serial 变化触发 |
| 安全 | TSIG 签名 + IP ACL 双重限制 |
开放 AXFR 会泄露全部内部记录（含测试/内网子域），务必 ACL 限制到从服务器 IP。