1. DNS/1/EDNS
| /EDNS1 /broken servers /ワークアラウンド |
DNS/EDNS も参照
Contents
DNSSECやIPv6を使うなら使えるようにすることが必須のEDNSだが、 これらを使っていない私にも少し関係がある。それはDNS Cookiesを使いたいからだ。 -- ToshinoriMaeno 2018-07-20 10:11:34
そのEDNSで、これまで一部の実装で行われてきたワークアラウンドをやめるという話がでている。
- なんのためにワークアラウンドが行われてきたのか、そこから話を始める必要がある。
-- ToshinoriMaeno 2018-07-20 10:11:34
1.1. Mark は冷静
https://lists.dns-oarc.net/pipermail/dns-operations/2018-May/017648.html
Those servers ignore the EDNS OPT record completely. There should be no problem. Mark -- Mark Andrews
https://ednscomp.isc.org/ednscomp/34dce1e4a9
- Checking: 'xbl.spamhaus.org' as at 2018-05-29T18:58:17Z
Refinements to EDNS fallback behavior can cause different outcomes in Recursive Servers
https://www.isc.org/blogs/refinements-to-edns-fallback-behavior-can-cause-different-outcomes-in-recursive-servers/ /BIND
EDNS Compliance Mark Andrews https://iepg.org/2015-03-22-ietf92/EDNS-Compliance-Mar-19.pdf
A Common Operational Problem in DNS Servers - Failure To Respond.
- draft-ietf-dnsop-no-response-issue-09 July 18, 2018
https://tools.ietf.org/html/draft-ietf-dnsop-no-response-issue-09
1.2. DNS flag day
https://dnsflagday.net/ このページは嘘が多い。/JPRS速報
What is happening? The current DNS suffers from unnecessary delays and an inability to deploy new features. To remediate these problems, vendors of DNS software BIND (ISC), Knot Resolver (CZ.NIC), PowerDNS, and Unbound (NLnet Labs) are going to remove certain workarounds on February 1st, 2019.
この部分に騙されているひとが多い。(なにが起きるのかは分からないが。)
変更点：ふたつ
1.3. 変更点 1
EDNSありのqueryに返事をしないサーバーは死んでいると見なす。
- ワークアラウンドとして、EDNSで問い合わせ直しているのをやめる。
DNS software developers The main change is that DNS software from vendors named above will interpret timeouts as sign of a network or server problem. Starting February 1st, 2019 there will be no attempt to disable EDNS as reaction to a DNS query timeout. This effectivelly means that all DNS servers which do not respond at all to EDNS queries are going to be treated as dead.
Knot Resolverのように、TCPを試すのがよい。
1.4. 変更点 2
EDNS0 queryに対する返答おかしいケースのworkaroundを廃止する連合
- 返答コードがおかしいか、返答しないかの場合がある模様。 個別に対策すれば十分ではないかと思っていた。相手がawsなので、手を組んだということらしい。
EDNS1指定queryに対して、BADVERSIONの返答をすると。-- ToshinoriMaeno 2018-07-17 01:31:06
JPNIC blog (いろいろ間違いがある) https://blog.nic.ad.jp/blog/dns-flag-day/
1.5. 修正後
ワークアラウンドとして、EDNSで問い合わせ直しているのをやめる。(なにが起きるか)
DNS/用語/EDNS0 /broken servers https://tools.ietf.org/html/rfc6891
https://www.nic.ad.jp/sc-hiroshima/program/dns-flag-day.pdf RFC 6891 section 7. に従った適切な処理の実装
https://tools.ietf.org/html/draft-spacek-edns-camel-diet-01
Minimal EDNS compliance requirements
- draft-spacek-edns-camel-diet-01
返事をしないサーバーが存在する。これを禁止しようというものらしい。
DNS-OARC 28の発表資料（4組織の連名） – Removing EDNS Workarounds <https://indico.dns-oarc.net/event/28/contributions/515/attachments/490/799/Removing_EDNS_Workarounds.pdf>
開発元のアナウンス – Together for better stability, speed and further extensibility of the DNS ecosystem | The CZ.NIC Staff Blog
EDNS0 work around: Knot Resolverは当初から組み込まれていないという記述がある。
- つまり、現状でも名前解決ができないケースが存在するかもしれない。
– Removing EDNS Workarounds | PowerDNS Blog <https://blog.powerdns.com/2018/03/22/removing-edns-workarounds/
“The DNS Camel”, or, the rise in DNS complexity blog.powerdns.com/2018/03/22/the-dns-camel-or-the-rise-in-dns-complexit/ …