Summary

  • Für seinen APNIC-Versuch ließ Geoff Huston BIND 9.20.23 mit leerem Cache www.potaroo.net auflösen: vier Anfragen vom Einstieg über die Delegationen bis zur Adresse.
  • Bei teams.microsoft.com zählte Huston mit BIND 9.20 94 Anfragen. Sein Bericht nennt außerdem 247 mit 9.16 und 29 mit 9.21 unter anderen Bedingungen. Das sind Spuren einer Abhängigkeit, kein sauberer Geschwindigkeitsvergleich.

Ein Resolver mit vollem Cache ist ein geschönter Zeuge. Er erinnert sich an frühere Antworten und unterschlägt, wie mühsam der Erstkontakt war. Huston, Chefwissenschaftler von APNIC, wollte genau diesen Erstkontakt sehen. Sein lokaler BIND fragte nacheinander nach dem Weg über die Root-Zone, .net und potaroo.net, bevor er die Adresse von www.potaroo.net erhielt. Vier Anfragen. Ein erfreulich kurzer Kassenbon.

Beim nächsten Namen wurde der Bon lang. Hustons Bericht enthält Ondřej Surýs Spur von 247 Anfragen für teams.microsoft.com mit BIND 9.16. Huston sah 94 mit 9.20; Surý berichtete 29 mit 9.21. Wer daraus eine Prozentzahl für ein Software-Upgrade macht, vergleicht verschiedene Bedingungen. Die interessante Aussage liegt im Verlauf: Eine einzige sichtbare Namensabfrage kann viele vorgelagerte Suchvorgänge auslösen.

Vier CNAME-Verweise schicken den Resolver nacheinander auf neue Namen. Manche Stationen nutzen die gerade gelernten Delegationen, eine führt wieder zu .net. Auch ein Nameserver-Name ist noch keine erreichbare IP-Adresse. Bei einem Server innerhalb der delegierten Zone kann ein Glue-Eintrag die nötige Adresse gleich mitliefern. Liegen Servernamen in anderen Domains oder gar unter verschiedenen Top-Level-Domains, muss der Resolver diese Wege ebenfalls erkunden.

DNSSEC verlangt zusätzlich Schlüsselabfragen. Für Ausfallsicherheit kann ein Resolver vorsorglich mehrere mögliche Server kennenlernen; das kostet Anfragen, bevor überhaupt etwas kaputtgeht. Der Zonenbetreiber bestimmt Aliase und Servernamen. Unabhängige Resolver auf der ganzen Welt führen den ersten Rundgang aus. Der warme Cache macht diese Arbeit später unsichtbar, aber er bezahlt sie nicht rückwirkend.

Huston hat damit weder einen Ausfall noch einen weltweiten Zeitverlust gemessen. Für eine konkrete Betriebsfolge fehlen kontrollierte Messungen von Dauer, Konfiguration und Fehlerfall. Seine Spur reicht trotzdem für eine unbequeme Frage am DNS-Zeichenbrett: Wie viele zusätzliche Türen öffnet der nächste Resolver, nur weil die Veröffentlichung hier bequemer war?