Zusammenfassung

  • Delegiert der Elternbereich child.example an ns.child.example, liegt die Adresse des nächsten Servers hinter genau der Grenze, die der Resolver noch nicht überschreiten kann.
  • Glue legt eine begrenzte Adresskopie in die Verweisung. Sie schafft Erreichbarkeit, nicht Autorität; spätere RFCs regelten Vertrauensrang und das Signal für unvollständiges Glue.

Der unmögliche nächste Schritt

Iterative Auflösung folgt Verweisungen von der Wurzel über die Top-Level-Domain zur Kindzone. Liegt der Servername in der Kindzone selbst, müsste der Resolver dessen A- oder AAAA-Adresse bei jener Autorität erfragen, die er mangels dieser Adresse noch nicht erreichen kann.

Die Benennung ist nicht fehlerhaft. Das Problem entsteht, weil die Koordinate für den Übergang über eine Verwaltungsgrenze auf der anderen Seite gespeichert ist.

Eine geborgte Adresse im Elternbereich

RFC 1034 definierte 1987 den Zonenschnitt. Der Elternbereich hält NS-Einträge für die Server des Kindes. Liegen deren Namen unterhalb des Schnitts, hält er zusätzlich Adressen für die Verweisung: Glue.

Die Ausnahme blieb eng. Glue gehört nicht zu den autoritativen Daten der Kindzone. Der Elternbereich beantwortet nicht allgemein die Adresse des Hosts, sondern liefert genug Information für den ersten Versuch bei der delegierten Autorität. Danach antwortet das Kind aus seiner Zone.

Damit bleiben Rollen getrennt. Der Elternbereich hat reale Macht über die Startbarkeit der Delegation, das Kind über seine Zonendaten, der Resolver über Ausführung, Rang und Ablauf der Hinweise.

Ein Hinweis darf nicht zur Antwort aufsteigen

Zusatzdaten sparen Abfragen, wurden aber nicht direkt erfragt. RFC 2181 ordnete 1997 die Vertrauensstufen: Autoritative Daten stehen über nichtautoritativen Antworten und Zusatzinformationen. Schwache, nicht authentisierte Einträge dürfen nicht so gespeichert werden, dass sie später als Antworten erscheinen.

Glue kann für denselben Namen in mehreren Zonen verschieden sein. Der Resolver braucht deshalb Herkunft und Rang, nicht nur eine undifferenzierte Adresssammlung.

Innerhalb, daneben und außerhalb

RFC 8499 unterscheidet in-domain, sibling und out-of-bailiwick. Ein in-domain-Server liegt in der delegierten Zone und braucht Glue. Ein sibling-Server liegt in einer anderen Kindzone desselben Elternbereichs; meist lässt sich seine Adresse über deren Delegation ermitteln.

Geschwister können sich jedoch zyklisch gegenseitig als Server verwenden. Dann muss der Elternbereich eine Adresse zum Aufbrechen des Kreises liefern. RFC 9471 fand Ende 2021 in verfügbaren CZDS-Daten 222 solche nur auf zyklischen siblings beruhende Delegationen unter ungefähr 209 Millionen Delegationen. Das ist eine begrenzte Beobachtung, keine globale Ausfallquote.

Für out-of-bailiwick-Namen ist Glue nutzlos, weil der Resolver den richtigen Ast des DNS-Baums verfolgen kann. Bailiwick bezeichnet Protokollumfang, keine Rechtszuständigkeit oder Eigentum.

Zwei Zonen, viele Uhren

RFC 1035 verlangte die Prüfung, ob nötiges Glue vorhanden ist. Es beschreibt auch NS-Daten, die länger im Cache bleiben als ihre Glue-Adressen: Servernamen sind bekannt, aber keine erreichbare Adresse.

Ein Adresswechsel ist daher kein atomarer Schreibvorgang. Eltern- und Kinddaten ändern sich in einer Reihenfolge, alte Caches laufen getrennt aus. Ein warmer Cache funktioniert weiter, während ein kalter die gebrochene Startstrecke zeigt.

Das Kind kann korrekte Daten anbieten, die neue Resolver nie erreichen. Der Elternbereich kann Glue korrigieren, ohne alle verteilten Caches zu leeren. Kein Akteur kennt den vollständigen Betriebszustand.

Unvollständigkeit anzeigen

Moderne Verweisungen teilen begrenzten UDP-Platz mit DNSSEC-Daten. Manche Server sendeten nur einen Teil des verfügbaren Glue, ohne die Lücke zu markieren.

RFC 9471 aktualisierte 2023 die Regel: Alles verfügbare in-domain-Glue muss enthalten sein, oder bei Platzmangel ist TC zu setzen. Der Resolver erkennt die Unvollständigkeit und kann über einen geeigneten Transport erneut fragen. Das RFC dokumentiert einen Fall von Juni 2020, in dem nötiges Glue fehlte und TC null blieb.

Die Korrektur schafft keine neue Zentralinstanz. Der Server legt die Grenze offen, der Resolver führt die Wiederholung aus, und Betreiber koordinieren die Daten beider Seiten.

Schmale Brücke statt Eigentumsurkunde

Glue löste Selbstbezug mit einer begrenzten Ausnahme. Der Elternbereich trägt die Startadresse, weil das Kind sonst unerreichbar wäre; das Kind bleibt autoritativ; der Resolver bewahrt den Unterschied. Daraus folgen weder Eigentum noch Identität oder Servergesundheit.

Die historische Leistung war eine funktionsfähige Machtteilung. DNS entkam der Schleife, ohne den Starthinweis zum Souverän der erreichten Zone zu machen.

Quellen und Grenzen

Zonenschnitt, Verweisung und Glue stammen aus RFC 1034 und RFC 1035, Vertrauensrang aus RFC 2181, Begriffe aus RFC 8499, Vollständigkeit und Beobachtungen aus RFC 9471. Spätere Begriffe werden nicht auf 1987 zurückprojiziert.