Resumen

  • RFC 5074, escrito por Sam Weiler, describió DLV como una ruta alternativa para validar zonas firmadas cuando la zona padre no publicaba el DS necesario.
  • DLV no suprimía la confianza: el resolver tenía que configurar de antemano un ancla para un dominio DLV distinto; solo después podía usar sus registros autenticados como referencia para la zona objetivo.
  • ISC vació su registro en 2017 pero mantuvo una zona firmada para configuraciones antiguas. En 2020, RFC 8749 trasladó DLV a Historic al considerar que la cadena DNSSEC ordinaria ya ofrecía una cobertura mucho mayor.

La firma de una zona no completaba la delegación

Una zona puede firmar sus datos y, aun así, dejar al resolver sin una ruta comprobable hasta una raíz de confianza. En el diseño normal, la zona padre publica un registro Delegation Signer (DS) que vincula la DNSKEY de la zona hija con los datos firmados del padre. Si un antecesor aún no está firmado o el registrador no acepta el DS, la validación no puede saltar por sí sola el eslabón ausente. Ese límite importaba cuando DNSSEC empezaba a desplegarse y la raíz y numerosos dominios de nivel superior todavía carecían de firma.

DNSSEC Lookaside Validation ofreció otra entrada. RFC 5074 permite que un dominio DLV separado publique registros firmados sobre zonas descendientes que no son hijas directas suyas. Tras validar el conjunto DLV, el resolver podía tratarlo como trataría un DS y continuar comprobando la DNSKEY y las firmas de la zona objetivo. RFC 4431 define el tipo de registro DLV, el número 32769, y lo firman conjuntamente Mark Andrews y Sam Weiler. Weiler es el autor de RFC 5074, que describe el funcionamiento del validador y el mecanismo más amplio.

El cambio de ruta no eliminaba la decisión de confianza; la movía. Antes de usarla, el operador del resolver tenía que instalar un ancla para el dominio DLV. RFC 5074 recomienda probar primero las anclas ordinarias aplicables: si la cadena normal valida la zona, no hace falta recurrir a DLV. Si dos dominios DLV cubrían la misma zona, el estándar dejaba la precedencia a cada implementación y recomendaba exponer esa elección en la configuración. La alternativa añadía flexibilidad, pero no convertía una afirmación externa en confianza automática.

La salida también formó parte del diseño

ISC indica que su registro DLV empezó a operar en 2006 como ayuda provisional para el despliegue de DNSSEC. La razón para mantener otra ruta perdió fuerza a medida que se firmaron la raíz y más delegaciones ordinarias. RFC 8749, de W. Mekking y Dan Mahoney, registra que la raíz se firmó en julio de 2010 y que 1.389 de 1.531 dominios de nivel superior tenían delegación segura desde la raíz en mayo de 2019. En 2020, el documento reclasificó RFC 4431 y RFC 5074 como Historic.

La jubilación requirió algo más que cambiar una etiqueta en el registro de estándares. ISC retiró las entradas el 30 de septiembre de 2017, pero conservó dlv.isc.org como zona firmada vacía. Según ISC, eliminar también esa zona podía hacer que algunos resolvers BIND antiguos, aún configurados para consultar DLV, respondieran SERVFAIL a muchas consultas. La zona vacía permitía que esas configuraciones obsoletas dejaran de encontrar afirmaciones DLV, sin convertir la retirada en un corte inmediato para el tráfico afectado que ISC había probado.

RFC 8749 explica el balance: DLV podía reducir la presión para que las zonas padre se firmaran y para que los registradores aceptaran DS, pero añadía complejidad al código de validación. Sus autores citan implementaciones en BIND 9 y Unbound y dicen que no conocían usos en empresas privadas. Son el alcance y el conocimiento que describían en 2020, no un recuento de instalaciones en 2026. La evidencia respalda una conclusión acotada: DLV abrió una ruta durante una etapa de despliegue incompleto, y su retirada tuvo que respetar configuraciones que podían sobrevivir a los estándares que las habían justificado.

La Nota 64 de Heng Lu sirve aquí solo como lente editorial: pregunta si una regla común se mantiene limitada y si el cambio se evalúa por adopción operativa. No aporta pruebas sobre Weiler ni sobre DNSSEC.

Fuentes