Кратко

  • Резолвер может спрашивать только следующую неизвестную границу, не раскрывая полный QNAME и исходный QTYPE на каждом этапе.
  • Приватность зависит от кэша, ограниченной итерации и отката; рекурсивный резолвер всё равно видит полный запрос.

Анализ

С пустым кэшем традиционное разрешение www.example.com может отправить всё имя корневому серверу. Ему достаточно .com, чтобы вернуть следующую делегацию. Остальное — историческое раскрытие, а не требование протокола.

RFC 9156 начинает с ближайшей известной делегации и добавляет только одну метку. A или AAAA могут скрыть исходный тип. Полные QNAME и QTYPE нужны лишь серверу, ответственному за конечное имя.

Изменение одностороннее и не требует нового протокола. Но границы зон есть не на каждой метке. Холодный резолвер иногда добавляет метки по одной, пока не найдёт смену полномочий.

Кэш становится границей раскрытия. RFC 8020 позволяет сохранённому NXDOMAIN отрицать потомков, а RFC 8198 — синтезировать отрицательные ответы из проверенных NSEC или NSEC3. Уже доказанная пустота не требует нового запроса вверх.

Итерацию нужно ограничить. Глубокие имена умножают работу; RFC 9156 требует предел и приводит 10 как рекомендуемый максимум одного механизма.

Гарантия частична. Рекурсивный резолвер видит полный запрос, наблюдатель в нескольких точках может сопоставлять данные, а шифрование решает другую задачу. Минимизация сокращает сведения у промежуточных авторитетных серверов.

Откат к полному имени способен вернуть доступность и незаметно убрать приватность. RFC не доказывают практику конкретного оператора.

Источники