Zusammenfassung

  • RFC 8806 beschränkt die vollständige Root-Kopie auf den Resolver desselben Hosts und verlangt DNSSEC sowie Übereinstimmung mit der öffentlichen Root-Zone.
  • Scheitert die Aktualisierung vor Ablauf des SOA, dürfen keine veralteten Daten geliefert werden; der Resolver muss sofort auf nicht lokale Roots wechseln.

Der Pfad wird lokal, die Autorität nicht

Fehlt eine Delegation im Cache, fragt ein Resolver gewöhnlich einen entfernten Root-Server. RFC 8806 erlaubt den Bezug der ganzen Zone und eine lokale autoritative Funktion. Das kann bei externen Störungen Kontinuität schaffen und Anfragen vor Beobachtern auf dem Netzpfad verbergen.

Der Betreiber kontrolliert jedoch nur den Dienstpfad. Die Kopie muss mit der öffentlichen Root-Zone identisch sein. Aktueller öffentlicher KSK-Anteil, sämtliche DNSSEC-Daten und Validierung sind Pflicht. Der Dienst darf ausschließlich Resolver auf demselben Host bedienen. Daraus entsteht weder eine alternative Root noch die Befugnis, Delegationen zu verändern.

Aktualität ist die Erlaubnisgrenze

Die Kopie folgt den SOA-Timern und kann den globalen Roots etwas hinterherlaufen. Über das Ablaufdatum hinaus darf sie nicht antworten. Bei fehlgeschlagener Erneuerung ist sofort auf nicht lokale Roots umzuschalten. SOA-Seriennummer, Ablaufreserve, letzter vollständiger Transfer und Rückfallpfad werden damit zu Autorisierungskontrollen.

RFC 8806 warnt, dass alte Daten falsche Nameserver für eine ganze TLD festhalten können. DNS-Plattform, Sicherheit und Netzwerk müssen Konfiguration, Validierung sowie Quell- und Root-Erreichbarkeit eindeutig besitzen. Ein Alarm ohne nachgewiesenen Pfadwechsel ist kein erfolgreicher Failover.

Nutzen und Kosten

Resolver-Kunden profitieren von geringerer externer Abhängigkeit und Sichtbarkeit. Der Betreiber trägt Beschaffung, Validierung, Überwachung, Diagnose und Tests. Die genannten AXFR-Quellen sind nicht dauerhaft garantiert. Ohne Kopie bleibt die Remote-Abhängigkeit; eine gesunde Kopie reduziert sie; eine abgelaufene Kopie ohne Rückfall verwandelt sie in einen stillen lokalen Fehler.

Belege und Grenzen

Die Fakten stammen aus RFC 8806, RFC 4033, RFC 5936 und der IANA-Veröffentlichung. Die Verantwortungsanalyse ist eine Schlussfolgerung. Verbreitung, gemessene Latenz- oder Datenschutzwirkung und konkrete Implementierungsqualität bleiben durch diese Quellen unbelegt und damit unbekannt.

Quellen