Résumé

  • APNIC PING a présenté le 3 septembre une étude contrôlée de janvier 2026 comparant le trafic des requêtes ordinaires à celui nécessaire pour entretenir une copie locale de la zone racine.
  • Sur quatre jours, BIND avec IXFR consomme en moyenne 4,35 Mo par résolveur et par jour, Unbound par DNS 3,93 Mo et Knot Resolver avec une récupération HTTPS quotidienne 2,65 Mo.
  • Les 105,12 Mo observés avec Unbound sur HTTPS proviennent de 48 téléchargements complets de 2,19 Mo par jour. L’étude attribue ce comportement à un défaut confirmé, pas à HTTPS.

Quatre résolveurs peuvent afficher la même fonction dans un inventaire et produire des factures radicalement différentes. Dans le banc d’essai, deux d’entre eux attendaient un changement de numéro de série avant un transfert incrémental. Knot récupérait approximativement une copie complète par jour. Unbound, dans sa configuration HTTPS, recommençait toutes les trente minutes.

C’est le mécanisme mis en lumière par APNIC PING le 3 septembre. George Michaelson y présente les travaux d’Ilyas Rahimi, avec Willem Toorop de NLnet Labs. La question n’est pas de savoir si une copie locale devient l’autorité de la racine. Elle consiste à mesurer ce qui remplace les petites requêtes lorsque le résolveur doit désormais distribuer et actualiser une zone.

Les chiffres décrivent des boucles, pas des protocoles

Le rapport de Rahimi exprime les deux modèles en mégaoctets par résolveur et par jour. Le côté conventionnel s’appuie sur RSSAC002 du 1er au 7 janvier : la plupart des lettres de la racine se situent entre 0,67 et 1,34 Mo, F-root constituant une exception à 11,18 Mo. Le côté local provient de captures effectuées du 20 au 23 janvier dans un environnement virtuel contrôlé.

Configuration observée Comportement de mise à jour Mo/résolveur/jour
BIND, DNS IXFR Transfert après changement, 2 à 4 fois par jour 4,35
Unbound, DNS IXFR Transfert après changement, 2 à 4 fois par jour 3,93
Knot Resolver, HTTPS Environ une copie complète par jour 2,65
Unbound, HTTPS Copie complète toutes les 30 minutes 105,12

BIND transférait environ 1,45 Mo par changement et Unbound sur DNS 1,31 Mo. Les jours comportaient deux, trois, quatre puis trois mises à jour. Leur total dépend donc directement de l’activité réelle de la zone.

Knot paie moins d’octets dans ce test, mais accepte une cadence plus prudente. Il ne s’agit pas d’un classement universel : une fréquence moindre peut aussi retarder l’arrivée d’un changement. À l’inverse, le résultat spectaculaire d’Unbound sur HTTPS ne juge pas le transport. Le programme téléchargeait le fichier complet sans vérifier d’abord le numéro de série. Le rapport indique qu’un développeur a confirmé le défaut et qu’une correction devait rapprocher ce comportement de celui des variantes déclenchées par un changement.

Une expérience brève, pas un vote sur le déploiement

Les quatre configurations locales dépassent la référence conventionnelle choisie pendant ces fenêtres. Mais les captures locales ne couvrent que quatre jours, contre sept pour la comparaison. L’étude ne mesure ni la latence, ni le coût de validation DNSSEC, ni la complexité, ni la reprise après incident. Elle ne chiffre pas non plus l’intérêt de réduire la dépendance aux chemins des serveurs racine publics.

L’échelle est une approximation. Les adresses sources uniques de RSSAC002 sont traitées comme des résolveurs, alors que NAT et agrégation IPv6 empêchent une correspondance exacte. La projection sur environ 59,1 millions d’instances illustre une multiplication linéaire ; elle ne prédit pas le trafic mondial d’un déploiement.

RFC 8806 fixe le socle stable : copie complète, actuelle, validable par DNSSEC et bascule vers les racines non locales avant de servir des données périmées. Le projet individuel en version 07 propose de vérifier l’état avant une récupération complète et examine une distribution HTTPS efficace. Malgré « bcp » dans son nom historique, sa note éditoriale précise qu’il n’est pas poursuivi comme BCP. Ce n’est pas une politique actuelle de l’IETF.

La conclusion utile tient dans un tableau de bord d’exploitation : série SOA, type de transfert, octets par mise à jour, nombre de mises à jour, validation et âge de la copie. Le mot « local » ne fournit aucun de ces reçus.