Кратко

  • Зона-каталог — не пассивная опись: корректное поколение способно добавить, убрать или заново создать зоны-участники во всей авторитетной инфраструктуре.
  • TSIG и XFR поверх TLS подтверждают источник и канал, но не замысел пустого списка. Безопасность требует независимой исходной описи, локального допуска, восстанавливаемого состояния и доказательства работающими ответами.

Представим каталог с корректными SOA и NS, единственным значением версии 2, новым серийным номером и аутентифицированной передачей. Дубликатов PTR и неверных свойств нет. Участников тоже нет.

По RFC 9432 это не сломанный каталог. Это валидное указание, что список стал пустым. Стандарт предупреждает: ошибка генератора может выпустить пустой каталог и за секунды удалить миллионы зон со вторичных серверов. Это модель риска из RFC, а не заявление о конкретном происшествии.

Канал может безупречно доставить ошибочное решение.

Решение выше уровня содержимого

AXFR и IXFR синхронизируют записи уже настроенной зоны. Они не сообщают вторичному серверу, какие зоны вообще надо обслуживать. RFC 9432 кодирует этот перечень в обычной DNS-зоне особой структуры: PTR под уникальным ярлыком в zones.$CATZ называет участника, а потребитель превращает обновление в конфигурацию.

Зона-участник определяет содержание ответа. Каталог определяет, будет ли сервер авторитетным для неё. RFC прямо говорит о переносе административного контроля к владельцу содержимого каталога и одновременно советует потребителю локально ограничивать допустимые имена шаблоном или независимой базой. Общий формат переносит предложение, но не обязан отменять местное право отказа.

Три разных вердикта

Нет версии, версия не поддерживается, участник продублирован или известное свойство имеет неправильную форму — каталог сломан и не обрабатывается. Ранее созданные участники при этом сохраняются; истечение каталога также не означает массового удаления.

Корректный пустой набор, напротив, однозначен. Корректное имя может также находиться вне договора потребителя. Поэтому структура, подлинность канала и операционная допустимость изменения оцениваются отдельно. TSIG не вправе автоматически ответить на третий вопрос.

Непрозрачный ярлык управляет состоянием

Уникальный ярлык не обозначает владельца, но его смена трактуется как удаление и новое добавление. Вместе с ним могут исчезнуть данные, ключи DNSSEC, журналы и таймеры.

Для миграции coo связывает старый каталог с новым. Потребитель ждёт участника в назначении и повторно проверяет сигнал передачи. Тот же ярлык может сохранить состояние; новый требует сброса. Без общего понимания coo добавление способно прийти раньше удаления, столкнуться со старой конфигурацией и потребовать повторной передачи. Универсальное восстановление RFC не навязывает.

Одинаковые байты, разное исполнение

Значение group определяется соглашением сторон. Неизвестное игнорируется; несколько значений могут применяться полностью, частично или вовсе не применяться. *.ext не обещает совместимости.

BIND документирует обработку по view и минимальный интервал обновления. PowerDNS описывает требования к backend и ограничения отдельных свойств. Knot DNS предлагает внешнюю валидацию и шаблоны, а также документирует немедленную очистку снятых участников и ограничения миграции в текущей реализации. Это свойства продуктов, не универсальные требования RFC.

Следовательно, совпавший хеш каталога доказывает лишь одинаковый вход. Нужны версия ПО, шаблон, распознанные свойства, правила сохранения и фактический набор настроенных зон.

Криптография охраняет путь

TSIG аутентифицирует DNS-транзакцию и защищает целостность. XFR поверх TLS может добавить конфиденциальность и проверку конечных точек. Но они не знают, что запрос генератора вернул ноль строк из-за ошибки или пакет отключений выбрал всех клиентов.

Цепочка доказательств начинается с утверждённого снимка описи, ожидаемого количества, владельца изменения, версии генератора и хешей. Затем связывает серийный номер, смысловой diff, ярлыки и свойства с каналом и решением потребителя. Завершают её активная конфигурация, перенос каждого участника, SOA, состояние ключей и прямые запросы ко всем значимым площадкам.

NS-делегация у родителя живёт отдельно. Удаление зоны на вторичном сервере не удаляет NS у родителя; запросы могут продолжить приходить туда, где авторитетного ответа уже нет. Успех каталога ещё не равен успеху службы.

Источники