Mi registrador de dominios y DNS proporcionan actualmente ignora las solicitudes de DNS a dominios desconocidos. Por ignorar me refiero a agujeros negros y nunca responde, lo que hace que mis clientes DNS y bibliotecas de resolución vuelvan a intentarlo, retrocedan y finalmente agote el tiempo de espera.
dig @NS3.DNSOWL.COM somedomainthatdoesntexist.org
...
;; connection timed out; no servers could be reached
Al encuestar a otros servicios de nombres de dominio populares, veo que este comportamiento es bastante único ya que otros proveedores devuelven un RCODE de 5 (RECHAZADO):
dig @DNS1.NAME-SERVICES.COM somedomainthatdoesntexist.org
dig @NS-284.AWSDNS-35.COM somedomainthatdoesntexist.org
dig @NS21.DOMAINCONTROL.COM somedomainthatdoesntexist.org
Todos devuelven algo como lo siguiente:
;; ->>HEADER<<- opcode: QUERY, status: REFUSED, id: 64732
o
;; ->>HEADER<<- opcode: QUERY, status: NXDOMAIN, id: 31219
Regresar REFUSEDo NXDOMAINinmediatamente es apropiado en mi humilde opinión en lugar de simplemente dejar caer la solicitud en el piso de la sala de servidores.
Cuando me quejo a mi proveedor acerca de que sus servidores no responden, me piden que cite el RFC que sus servidores están violando. Sé que es extraño que me pidan que demuestre que sus servidores deben responder a todas las solicitudes, pero que así sea.
Preguntas :
- Mi estipulación es que, a menos que haya identificadores de solicitud duplicados o algún tipo de respuesta de DOS, un servidor siempre debe responder a la solicitud. ¿Es esto correcto?
- ¿Qué RFC y sección específica debo citar para apoyar mi estipulación?
Para mí, es malo no responder a una consulta DNS. La mayoría de los clientes retrocederán y luego retransmitirán la misma consulta al mismo servidor DNS u otro servidor. No solo están ralentizando a los clientes, sino que están causando que la misma consulta sea realizada nuevamente por sus propios servidores u otros servidores, dependiendo de los servidores de nombres autorizados y las entradas NS.
En RFC 1536 y 2308 veo mucha información sobre el almacenamiento en caché negativo por razones de rendimiento y para detener la retransmisión de la misma consulta. En 4074 veo información sobre cómo devolver una respuesta vacía con un RCODE de 0 para que el cliente sepa que no hay información de ipv6 que debería hacer que el cliente pregunte sobre A RR, que es otro ejemplo de una respuesta vacía.
Pero no puedo encontrar un RFC que diga que un servidor DNS debería responder a una solicitud, probablemente porque está implícito.
El problema específico ocurre cuando migro mi dominio (y los registros DNS asociados) a sus servidores o los primeros X minutos después de registrar un nuevo dominio con su servicio. Hay un retraso entre el momento en que cambian los servidores de nombres autorizados (que es bastante rápido en estos días) y sus servidores comienzan a servir mis registros DNS. Durante este tiempo de retraso, los clientes DNS piensan que sus servidores tienen autoridad pero nunca responden a una solicitud, incluso con un REFUSED. Entiendo el retraso que está bien, pero no estoy de acuerdo con la decisión de no responder a las solicitudes de DNS. Para el registro, entiendo cómo evitar estas limitaciones en su sistema, pero todavía estoy trabajando con ellos para mejorar sus servicios para estar más en línea con el protocolo DNS.
Gracias por la ayuda.
Editar:
Dentro de un par de meses después de publicar esto y hacer un seguimiento con mi proveedor, cambiaron sus servidores para devolver NXDOMAINdominios desconocidos.