요약

  • Paul Wilson은 2017년 APNIC이 ISC의 BIND 적극적 NSEC 캐시 구현을 후원한다고 밝혔다. 검증된 부재 증거를 리졸버가 재사용하는 기능이다.
  • APNIC 활동 보고서는 후원을 기록했고, ISC는 2018년 1월 그 기능을 담은 BIND 9.12를 정식 출시했다.

루트 서버가 바쁘다면 서버를 더 세우면 된다. APNIC은 이미 그 방법에 익숙했다. Wilson은 2017년 글에서 2002년 이후 21개 경제권에 최소 29개의 루트 서버 인스턴스를 지원했다고 적었다. 그러고는 시선을 서버 반대편으로 돌렸다. 재귀 리졸버가 이미 “존재하지 않는다”는 믿을 만한 증거를 갖고 있는데도, 매번 루트까지 질문을 보낼 필요가 있을까?

DNSSEC의 NSEC 레코드는 이름이 없는 구간을 서명으로 증명할 수 있다. RFC 8198에 따라 검증형 재귀 리졸버는 그 증거를 캐시에 보관하고, 유효 기간 안에는 같은 구간의 다른 이름에도 로컬에서 NXDOMAIN을 만들 수 있다. 보통 캐시는 같은 질문의 답을 기억한다. 적극적 NSEC 활용은 서로 다른 틀린 질문 여러 개를 하나의 검증된 부재 증거로 처리한다. 루트 서버가 유령 이름마다 출석 확인을 해줄 일은 줄어든다.

Wilson은 이 기능을 BIND에 넣는 ISC의 작업에 APNIC 자금을 배정했다. APNIC의 2017년 활동 보고서는 BIND 9.12 구현 지원을 명시한다. ISC는 개발 설명에서 작동 원리를 제시했고, 2018년 1월 23일 정식 배포 공지에 NSEC Aggressive use를 새 기능으로 올렸다. 계획은 운영자가 설치할 수 있는 코드가 됐다.

Wilson의 선택은 DNS의 일을 조금 옮겨놓았다. APNIC이 설치한 루트 서버는 사용자 가까이에 답을 가져왔다. 새 캐시는 답이 이미 증명된 질문을 사용자 쪽에서 끝낸다. 서버를 더 세우는 일보다 사진은 덜 나오지만, 때로는 그 편이 더 좋은 소식이다.