Zusammenfassung

  • Paul Wilson kündigte 2017 an, dass APNIC die ISC-Implementierung von aggressivem NSEC-Caching in BIND finanziert: signierte Negativnachweise lassen sich im Resolver erneut verwenden.
  • APNIC dokumentierte die Förderung im Tätigkeitsbericht; ISC veröffentlichte BIND 9.12 mit der Funktion im Januar 2018.

Einen zusätzlichen Root-Server kann man auf einer Karte einzeichnen. Eine vermiedene Anfrage nicht. Gerade deshalb lohnt sich Paul Wilsons Entscheidung. In seinem APNIC-Beitrag von 2017 zählte er mindestens 29 seit 2002 unterstützte oder finanzierte Root-Server-Instanzen in 21 Volkswirtschaften. Das Programm hatte die Root-Dienste näher an die Nutzer gebracht. Wilson wollte nun auch die Resolver klüger machen, die diese Dienste befragen.

Ein DNSSEC-signierter NSEC-Eintrag belegt, dass Namen in einem bestimmten Bereich fehlen. Ein validierender rekursiver Resolver kann den Beweis nach RFC 8198 speichern und während seiner Gültigkeit weitere negative Antworten für andere Namen in diesem Bereich selbst erzeugen. Der übliche Cache merkt sich eine konkrete Antwort. Aggressives NSEC nutzt einen Nachweis für mehrere unterschiedliche Fehlfragen. Der Root-Server muss dann nicht jedes neu erfundene Wort einzeln abweisen.

APNIC stellte Geld bereit, damit ISC die Funktion in BIND umsetzte. Der APNIC-Tätigkeitsbericht 2017 nennt die geförderte Implementierung in BIND 9.12. ISC erläuterte die geplante Technik in einer Entwicklungsnotiz und meldete am 23. Januar 2018 die fertige Version samt NSEC Aggressive use. Die Chronik hat damit einen überprüfbaren Schlusspunkt: eine veröffentlichte Softwarefunktion.

Wilson verlegte einen Teil der Arbeit dorthin, wo die Frage entsteht. Auf mehr Root-Kapazität zu setzen, war APNIC vertraut. Verifizierte Antworten am Rand wiederzuverwenden, machte eine andere Sorte Skalierung möglich: weniger Unsinn auf der Leitung, bevor er das Zentrum erreicht.