Resumo

  • Em 2017, Paul Wilson anunciou apoio financeiro da APNIC à ISC para incluir cache NSEC agressivo no BIND, permitindo ao resolvedor reutilizar provas assinadas de inexistência.
  • O relatório de atividades da APNIC registrou o projeto, e a ISC lançou o BIND 9.12 com a função em janeiro de 2018.

Há um jeito intuitivo de dar folga ao DNS raiz: instalar mais servidores. A APNIC conhecia bem o método. Paul Wilson contou, em seu texto de agosto de 2017, ao menos 29 instâncias apoiadas em 21 economias desde 2002. Mas a pergunta que ele fez naquela ocasião era sobre o lado da consulta. Um resolvedor precisa bater de novo à porta da raiz quando já guarda uma prova assinada de que o nome procurado está num intervalo vazio?

O registro NSEC do DNSSEC oferece exatamente essa prova. Ele delimita uma faixa de nomes inexistentes. Pela regra do RFC 8198, um resolvedor que valida DNSSEC pode guardar a resposta e produzir localmente novos NXDOMAIN para outros nomes da mesma faixa enquanto o cache estiver válido. A memória comum responde uma pergunta repetida; o uso agressivo de NSEC dá conta de perguntas diferentes cobertas pelo mesmo “não”.

Wilson destinou financiamento da APNIC à implementação pela ISC no BIND. O relatório de atividades de 2017 cita o patrocínio do recurso para o BIND 9.12. A ISC descreveu o mecanismo numa nota de desenvolvimento e anunciou a versão final em 23 de janeiro de 2018 com NSEC Aggressive use. O programa que operadores podiam instalar era a entrega concreta.

A graça da decisão está na troca de lugar da inteligência. As instâncias locais levam o serviço raiz para mais perto das redes. O cache permite que as redes parem de pedir ao serviço raiz uma resposta que já têm como verificar. Para uma consulta sobre um nome fantasma, o melhor trânsito pode ser nenhum.