Кратко

  • RFC 8806 ограничивает полную копию корня резолвером на том же узле и требует DNSSEC и совпадения с публичной корневой зоной.
  • Если обновление не завершено до истечения SOA, устаревшие данные обслуживать нельзя: система должна немедленно перейти к нелокальным корням.

Путь становится локальным, полномочия — нет

При отсутствии делегирования в кэше резолвер обычно обращается к удалённому корневому серверу. RFC 8806 разрешает получить всю зону и отвечать через локальную авторитативную функцию. Это может сохранить доступность при внешнем сбое и убрать запрос с наблюдаемого сетевого пути.

Оператор контролирует путь обслуживания, а не политику корня. Копия должна совпадать с публичной зоной; нужны актуальная публичная часть KSK, все DNSSEC-записи и проверка подписей. Сервис отвечает только резолверу того же узла. Он не становится альтернативным корнем и не получает права менять делегирования.

Актуальность определяет право отвечать

Копия обновляется по таймерам SOA и может немного отставать от глобальных серверов. После истечения срока отвечать нельзя. При сбое обновления требуется немедленное переключение. Серийный номер SOA, запас времени, последний полный перенос и путь возврата становятся контролями полномочий.

RFC предупреждает: старая копия способна сохранить неверные данные для целой зоны верхнего уровня. DNS-платформа владеет переключением, безопасность — валидацией, сеть — доступом к источникам и удалённым корням. Оповещение без подтверждённой смены пути не доказывает восстановление.

Польза и цена

Клиенты получают меньшую внешнюю зависимость и наблюдаемость. Оператор оплачивает получение, проверку, мониторинг, диагностику и испытания. Доступность перечисленных AXFR-источников не гарантирована. Без копии зависимость остаётся удалённой; здоровая копия её снижает; просроченная копия без возврата превращает распределённую зависимость в тихую локальную ошибку.

Доказательства и ограничения

Факты взяты из RFC 8806, RFC 4033, RFC 5936 и материалов IANA. Распределение ответственности — аналитический вывод. Эти источники не измеряют распространённость, фактический выигрыш в задержке или приватности и качество конкретных реализаций; это неизвестно.

Источники