Zusammenfassung

  • Die Minimierung verringert die Sicht eines nicht-terminalen autoritativen Servers, verbirgt die vollständige Abfrage aber nicht vor dem rekursiven Resolver.
  • Ein kalter Cache kann mehrere Abfragen mit schrittweise ergänzten Labels erfordern; ein warmer Cache kann den Weg verkürzen.
  • Der Betrieb muss die Upstream-Folge, den Cache-Kontext und den Abbruchgrund bewahren.

Das Problem beginnt, wenn ein grünes Kennzeichen den Nachweis ersetzt. Eine Anfrage im kalten Cache sondiert mehrere Labels vor einer fehlerhaften Delegation; die Wiederholung im warmen Cache braucht nur eine Abfrage. Die Einstellung blieb gleich, die beobachtete Offenlegung und Last nicht.

RFC 9156 beendet das routinemäßige Versenden des vollständigen ursprünglichen QNAME und QTYPE. Der Resolver fragt jeden Server nur nach dem Namen, der für die nächste Delegation erforderlich ist, und darf einen QTYPE wählen, der vom ursprünglich angeforderten Abfragetyp des Clients unabhängig ist. Der letzte autoritative Server erhält den nötigen Namen; frühere Server sehen weniger.

Das ist ein Sequenzalgorithmus, keine Textsubstitution. Bekannte Zonengrenzen stammen aus dem Cache, unbekannte werden schrittweise gefunden. Tiefe Namen können im kalten Cache mehr Anfragen erzeugen. Deshalb fordert RFC 9156 eine Begrenzung pro Clientanfrage und nennt zehn als empfohlenen Wert für MAX_MINIMISE_COUNT, nicht als universelle Kapazitätsgrenze.

RFC 8020 erlaubt einen NXDOMAIN-Cut: gespeicherte Nichtexistenz kann die Suche unterhalb eines Knotens beenden. Diese Reichweite verstärkt zugleich die Folgen eines falschen NXDOMAIN; DNSSEC-Validierung ist der ausdrücklich genannte Schutz gegen das Risiko einer Cache-Vergiftung. RFC 8198 erlaubt negative Synthese aus validierten NSEC- oder NSEC3-Beweisen. Ein Autoritätslog erklärt die Clientantwort daher nicht allein; direkte Antwort, Cut und DNSSEC-Nachweis samt TTL müssen getrennt werden.

RFC 9076 beschreibt mehrere Beobachter. Der rekursive Resolver sieht die vollständige Frage weiterhin, und ein Netzbeobachter kann unverschlüsselten Verkehr sehen. Minimierung verringert eine Offenlegung, ersetzt aber weder Verschlüsselung noch Vertrauen in den Dienst.

Ein Kompatibilitätsrückfall muss Autorität, Fehler, gelockerte Stufe, Ablauf und erneuten Test festhalten. Ohne Frist wird die Ausnahme zu einer unsichtbaren Dauerpolitik.