الخلاصة

  • بدل DNS ليس بحثاً بنمط عام؛ إنه مجموعة سجلات عند اسم يبدأ بالوسم *، ولا تُفحص إلا حين تسقط المطابقة الدقيقة خارج شجرة المنطقة الموثوقة.
  • يحدد RFC 4592 أقرب عقدة موجودة تحيط بالاسم، ثم يسمح بمرشح واحد هو *.<العقدة-الأقرب>؛ لا يبحث الخادم عن نجمة بديلة إذا فشل هذا المرشح.
  • في المنطقة الموقعة، يجب إثبات مصدر البيانات وعدم وجود اسم دقيق أو أقرب له الأولوية؛ ولا يحول ذلك الوجهة المصنوعة إلى خدمة آمنة أو مقصودة.

جواب موجب لمالك غير مخزن

إذا حملت *.example عنواناً ولم توجد blue.example في المنطقة، يستطيع الخادم إعادة سجل يظهر مالكه blue.example. تأتي القيمة والمدة من سجل البدل، أما اسم المالك الظاهر فقد صنعته الإجابة ولم يكن صفاً محفوظاً.

وصف RFC 1034 في 1987 سجلات البدل بأنها تعليمات لصنع سجلات. كان توجيه البريد لأسماء غير معروفة استعمالاً مبكراً. لكن النجمة لم تسجل عدداً لا نهائياً من الأسماء، ولم تكن تعبيراً نمطياً. منحت الخادم الموثوق فعلاً مشروطاً داخل منطقة واحدة.

لذلك لا يثبت الجواب الموجب أن مشغلاً أنشأ الاسم المحدد أو راجعه أو قصده. يثبت فقط أن خوارزمية المنطقة سمحت بالنتيجة. القصد والثقة التطبيقية يحتاجان دليلاً آخر.

الوجود الدقيق يرفض الاستعارة

تسبق المطابقة العادية أي بدل. إذا كان الاسم موجوداً، لا يكمل البدل نوعاً ناقصاً لديه. اسم يملك AAAA ولا يملك MX يبقى بلا MX، ولا يستعير MX من *.example.

قد يوجد الاسم من دون أن يملك سجلاً بنفسه. العقدة الوسيطة التي لها ابن أعمق هي نهاية غير طرفية فارغة. صمتها لا يلغي وجودها؛ فهي تغير مسار البحث. إضافة سجل بعيد تحتها قد توقف جواب بدل كان يعمل قبلها.

وعند حذف آخر ابن يمكن أن تزول العقدة الفارغة، فيتسع بدل أعلى من جديد. لم تتغير مجموعة سجل النجمة، بل تغيرت البنية التي تمنحها حق العمل.

أقرب عقدة ومصدر وحيد

احتاجت خبرة التنفيذ وتصميم DNSSEC إلى قاعدة أقل غموضاً. عرّف RFC 4592 أقرب عقدة محيطة بأنها الاسم الموجود في المنطقة الذي يشارك السؤال أطول سلسلة متصلة من الوسوم بدءاً من الجذر.

عندما تفشل المطابقة الدقيقة، لا ينشأ إلا مرشح واحد تحت تلك العقدة مباشرة: *.<العقدة-الأقرب>. إذا وجد صار مصدر الصنع، وإذا غاب انتهت إمكانية البدل.

لا يصعد الخادم للبحث عن نجمة أخرى. وجود المصدر من دون النوع المطلوب ينتج غياب بيانات تحت البدل؛ ولا يملأ بدل أبعد الفجوة. لكل سؤال، إذن، مصدر محتمل واحد على الأكثر.

بهذا تصبح البدلات المتداخلة حاسمة لا حدسية. وتصبح عبارة «النجمة تغطي كل ما تحت النطاق» مضللة؛ فعقدة أقرب، حتى لو كانت فارغة، تعيد حساب المصدر الوحيد.

النجمة وسم لا لغة أنماط

لا يكتسب الاسم معنى البدل إلا إذا كان وسمه الأول هو * تماماً. النجمة في موضع آخر لا تمنح تلك القدرة. وكتابة النجمة حرفياً في السؤال لا تطلب مطابقة جماعية؛ يعالجها DNS كوسم عادي، وقد يصل بها إلى مالك سجل البدل نفسه.

بعد الصنع تعود قواعد نوع السجل العادية. قد يصنع CNAME من بدل ثم يستمر حل الاسم المستعار. لا يحول ذلك DNS إلى موجه تطبيقات أو سياسة شهادات أو محرك مطابقة جزئية.

التفويض ينهي بدل الأب

وضع RFC 1034 الحد داخل المنطقة. عندما يبلغ البحث تفويضاً، يحيل الأب المحلل إلى سلطة الابن ولا يمد نجمته إلى ما تحت القطع. يستطيع الابن نشر بدل خاص به، لكنه قرار في بياناته الموثوقة.

هذه حدود سلطة. من يفوض شجرة فرعية لا يحتفظ بجواب احتياطي خفي لكل فراغ فيها. ومن يتلقى التفويض لا يرث افتراضياً سلوك الأب المريح.

إثبات الغياب الذي أجاز الصنع

يعتمد جواب البدل على مقدمة خفية: لا يوجد اسم أدق له الأولوية. جعل RFC 4035 هذه المقدمة قابلة للتحقق. تحمل إجابة المنطقة الموقعة السجل الموسع وتوقيعه، ومعهما دليل NSEC موثقاً على غياب المطابقة الدقيقة أو الأقرب.

يسمح عدد الوسوم في RRSIG للمحقق بإعادة بناء مالك البدل الأصلي رغم عرض اسم السؤال. وهكذا يثبت المصدر والفراغ البنيوي الذي سمح باستعماله.

لا يثبت DNSSEC أن الكتابة مقصودة أو الوجهة آمنة أو أن التطبيق ينبغي أن يمنحها هوية. إنه يوثق قول المنطقة وترتيب الأولوية في شجرتها فقط.

المصادر والحدود

المجموعة المغلقة هي RFC 1034 وRFC 4592 وRFC 4035. تحدد الآلية والمصطلحات وإثبات DNSSEC، ولا تقيس الانتشار الحالي أو الاستعلامات أو الإساءة أو سلوك المنتجات.