要約

  • LocalRootは小さな外向き問い合わせを減らすが、完全なルートゾーンを継続的に取得して安全に使う制御面を新設する。
  • Ilyas Rahimiの実験では、測定した四構成すべてが論文の従来型平均基準より多くのbytesを転送し、差はトランスポート名より更新頻度と実装ロジックに左右された。
  • 四日間のテストベッド結果であり、全ネットワークや全バージョンに適用できる帯域幅判定ではない。

消えた問い合わせの代わりに運ばれるもの

従来のリゾルバーは、キャッシュに必要な委任情報がなければ公開ルートへ小さな問い合わせを送る。LocalRootでは、そのやり取りの多くがホスト内で終わる。しかし、元になるルートゾーンは外部で発行され、日々変わる。依存は消えず、問い合わせ型から配布型へ移る。

Rahimiは両者を一日・一リゾルバー当たりの通信量にそろえた。従来側はRSSAC002の七日間、LocalRoot側は仮想環境で四日間のpacket captureを使う。対象はBIND、DNS転送のUnbound、HTTPS取得のUnbound、Knot Resolverである。

従来側の値も一様ではない。論文表では多くのroot letterが0.67〜1.34 MB/日で、f-rootは11.18 MBだった。規模試算では全体平均として約2 MBを置く。集約値、size bucket、unique sourceの近似から得た数字であり、任意の一台を直接測った値ではない。

更新方法が結果を分ける

BINDはSOA serialの変化後に約1.45 MBを転送し、四日平均4.35 MB/日だった。DNS-based Unboundは一回約1.31 MB、平均3.93 MB/日である。両者の合計は、その日に実際の変更が何回あったかに従う。

HTTPS-based Unboundは、測定構成では変更確認を挟まず、約2.19 MBの完全ゾーンを30分ごとに取得した。48回で105.12 MB/日になる。論文はUnboundのシニア開発者との個人的な確認に基づき、この動作をbugと位置づける。したがって、105.12 MBをHTTPS一般の性質として扱ってはならない。

Knot ResolverもHTTPSだが、ほぼ一日一回で、平均は約2.65 MBだった。同じトランスポートが最大値と最小値の近くに現れる。重要なのは、取得前の変更確認、スケジュール、incremental transfer、失敗時の再試行である。

byte列の到着と採用判断は別

2026年7月の個人Internet-Draftは、公開元を列挙し、効率的なsourceを選び、HTTP HEADやSOAで先に鮮度を確認する流れを示す。古いserialは使わず、取得に失敗すれば別sourceを試し、候補を使い切ればrefresh intervalを待つ。毎回すべてをdownloadしない配慮も求める。

取得済みファイルはまだ現用状態ではない。ZONEMDを確認し、そのZONEMDをIANA root trust anchorの下でDNSSEC検証して初めて利用できる。コピーが利用不能またはstaleなら通常のRoot Server Systemへの問い合わせへ戻り、上限は現在のSOA expireを超えられない。

RFC 8806は、完全なゾーン、公開ルートとの同一性、署名済みrecordの検証、同一ホストのresolverだけへの応答、stale dataの禁止を定める。ローカルで答えることは、発行元やtrust anchorから独立することではない。

測定値の外側

LocalRootの観測は四日、従来側は七日である。遅延、CPU、運用の複雑さ、障害時の結果は対象外だ。世界のresolver数もRSSAC unique sourceの合計を近似として用いる。異なるversion、設定、source、変更頻度で比率は変わり得る。

それでも監査上の結論は強い。query countとbytesは別、bytesと正しさは別、DNSSEC成功と最新性は別、外向き問い合わせ減少とend-to-end privacyも別である。通信量が低い理由が更新停止である場合も、通信量が高い理由が同じファイルの反復取得である場合もある。

一つの更新に複数の証跡

問い合わせ件数とbytes、変更確認、source、取得と再試行のbytes、転送方式、software/version/configuration、SOA serial/refresh/expire、ZONEMD、DNSSEC、candidate hash、activate/quarantine、fallback、latency、残る観測者、利用者の名前解決結果を別項目で残す。

同じcycle IDで結び付けてもよいが、一つのhealth値に畳んではならない。そうして初めて、外から静かに見えるresolverが、検証済み最新コピーを使うのか、更新に失敗したのか、すでにremote rootへ戻ったのかを説明できる。

情報源

Rahimiの研究報告、NLnet Labsの登録、APNICの対談概要、Internet-Draft、RFC 8806。