Summary

  • Le parcours publié par APNIC commence sans réponse en cache : avec BIND 9.20.23, Geoff Huston atteint www.potaroo.net en quatre requêtes.
  • Pour teams.microsoft.com, les traces rapportées comptent 247 requêtes avec BIND 9.16, 94 avec 9.20 et 29 avec 9.21. Les conditions diffèrent ; ces nombres éclairent les dépendances d'une résolution, pas un classement de performance.

Il y a un petit tour de magie dans les démonstrations DNS : une fois le premier nom trouvé, le cache fait disparaître une partie du travail. Huston, scientifique en chef d'APNIC, a préféré montrer l'addition avant que le tour commence. Son résolveur BIND local n'avait rien retenu. Pour www.potaroo.net, il a obtenu les indications de la racine, puis celles de .net, puis celles de potaroo.net, avant de demander l'adresse finale. Quatre questions, une chaîne lisible.

La seconde adresse arrive avec une escorte. Dans son analyse, Huston reprend une démonstration d'Ondřej Surý : BIND 9.16 a posé 247 questions pour teams.microsoft.com. Huston en a observé 94 avec 9.20 ; Surý signale 29 avec 9.21. Changer de version ne constitue pas ici une expérience contrôlée sur la vitesse. L'intérêt est ailleurs : une seule demande visible à l'utilisateur peut ouvrir des dizaines de démarches invisibles.

Quatre alias CNAME transforment la recherche en cinq résolutions successives. Certains noms réutilisent des informations déjà acquises ; un autre repart vers .net. Les serveurs de noms posent ensuite leur propre problème d'adresse. Une délégation indique qui détient la réponse, mais le résolveur doit encore savoir comment joindre ce serveur. Les enregistrements de glue peuvent fournir l'adresse d'un serveur situé dans la zone déléguée. Des serveurs nommés dans plusieurs domaines, voire plusieurs domaines de premier niveau, allongent le chemin initial.

La validation DNSSEC ajoute des recherches de clés. Un résolveur peut aussi préparer davantage de serveurs de rechange, au prix de requêtes supplémentaires, ou aller au plus court tant que tout répond. Le choix du propriétaire de la zone et celui du résolveur se rencontrent dans ce coût. Le premier dessine les alias et les délégations ; le second exécute le parcours.

Huston n'a mesuré ni panne générale ni facture financière. Il a rendu visible qui commande le premier déplacement. Pour établir un effet opérationnel, il faudrait une trace contrôlée avec temps écoulé, configuration et comportement en cas d'échec. En attendant, la question tient sur un coin de table : avant de multiplier les chemins DNS, qui devra les parcourir à froid ?