MoinQ: DNS/返答/minimal-responses

1. DNS/返答/minimal-responses

/isc.org /JPドメイン /返答例 ccTLD/cz/minimal-responses

minimal-responsesはresponse sizeを小さくする。

が、問い合わせの回数を増やす

• そのtrade offだけだというのが、開発者のコメントだ。それだけではない。

  • 余分な返答を受け入れることは毒盛の危険性を増やすのだ。-- ToshinoriMaeno 2018-03-24 12:33:34

  多くの場合には捨てられるのだから、ネットワークを無駄に使っている。

minimal-responsesですら無駄なAdditionalが付いていることが分った。-- ToshinoriMaeno 2018-03-31 23:30:17

• ISCのひとはsibling glueと呼んでいるが、glueを誤解しているのだろう。

2. 返答例

ccTLD/au, ccTLD/cz

3. BIND option

随分前からoptionで存在しているが、defaultはnoである。 DNS/BIND/minimal-responses

9.12からdefaultはあたらしいno-auth-recursiveになるが、動作はほとんど変化しない。

• yesに設定することを勧める。

-- ToshinoriMaeno 2018-03-20 03:16:06

4. Knot DNS action

/KnotDNS

https://lists.nic.cz/pipermail/knot-dns-users/2015-September/000700.html Knot DNS 2.0.1 patch release

- We have decided to remove NS record from the Authority section for NOERROR responses. 
  We used to put these records there because BIND and NSD did it.
  But these records are not required by any RFC and just increase the size of the response.

https://lists.nic.cz/pipermail/knot-dns-users/2015-September/000704.html

https://lists.nic.cz/pipermail/knot-dns-users/2015-September/000703.html

Jan Včelák wrote:
> Robert Edmonds wrote:
>> I can certainly see how apex NS records in the authority section is not
>> particularly useful for root or TLD servers, but it's occasionally
>> useful for "leaf" zones to speed up the propagation of updated NS
>> records, due to the trust ranking rules in RFC 2181 §5.4.1.
> 
> I haven't thought about this. This might be indeed useful. On the other
> hand, why NS and not any other RR type? I think this is really single
> purposed and I'm not convinced (at the moment) that this is worthy of
> adding an option.

https://lists.nic.cz/pipermail/knot-dns-users/2015-September/000710.html

5. Unbound option

       minimal-responses: <yes or no>
              If yes, Unbound  doesn't  insert  authority/additional  sections
              into  response  messages  when  those sections are not required.

              This reduces response size  significantly,  and  may  avoid  TCP
              fallback  for  some responses.  This may cause a slight speedup.

              The default is no, because the DNS protocol RFCs  mandate  these
              sections,  and  the  additional content could be of use and save
              roundtrips for clients.

RFCの解釈が間違っていると思う。(cz, Knot DNSの見解と比較してみよ。)

• 毒盛の危険は考えないらしい。(DNSSECを使えということか)

Unboundはリゾルバーなので、stubリゾルバー相手の話であるので、大した問題ではないか。 -- ToshinoriMaeno 2018-03-20 03:21:41

6. Infoblox

Specifying Minimal Responses https://docs.infoblox.com/display/NAG8/Specifying+Minimal+Responses