Кратко

  • В 2017 году Пол Уилсон объявил о финансировании APNIC функции агрессивного кеширования NSEC в BIND, которую реализовала ISC: проверенный отрицательный ответ можно использовать повторно.
  • Отчёт APNIC зафиксировал проект, а выпущенная в январе 2018 года BIND 9.12 включила NSEC Aggressive use.

Если корневые DNS-серверы получают слишком много бесполезных вопросов, самый заметный ответ — поставить ещё серверы. APNIC этим занимался: в статье 2017 года Пол Уилсон насчитал не менее 29 установленных при поддержке организации экземпляров в 21 экономике с 2002 года. Но новый ход касался отправителя запросов. Пусть резолвер научится пользоваться доказательством того, что искомых имён нет, вместо очередной поездки к корню.

Такие доказательства уже несут записи NSEC в DNSSEC. Подписанная запись указывает интервал отсутствующих имён. RFC 8198 разрешает валидирующему рекурсивному резолверу хранить её и в пределах срока действия кеша синтезировать отрицательные ответы для других имён из того же интервала. Обычный кеш помнит ответ на конкретный запрос. Агрессивный NSEC позволяет одной проверенной записи обслужить целую компанию новых несуществующих имён — без переписки с корневым сервером по каждому из них.

Уилсон направил средства APNIC на реализацию функции в открытом ПО ISC. Отчёт APNIC о деятельности за 2017 год прямо называет поддержку разработки для BIND 9.12. ISC описала механизм в технической заметке, а 23 января 2018 года объявила о финальном выпуске с NSEC Aggressive use. На этом этапе у идеи появился проверяемый результат: программа, которую можно установить.

Интерес Уилсона заключался в смене точки приложения усилий. Копии корневых серверов сокращают расстояние до ответа. Кеширование подписанного «нет» устраняет часть поездок за ответом вообще. Бывает, что лучшая нагрузка на инфраструктуру — та, которая до неё не дошла.