Início / server / Perguntas / 697003
Accepted
Oliver Salzburg
Asked: 2015-06-06 13:46:19 +0800 CST

Um cliente DNS pode distinguir se a resposta recebida foi baseada em um registro curinga ou em uma correspondência específica?

  • 772

Eu tinha um *registro em uma de nossas zonas e o mudei. Mas quando consultei certos nomes aleatórios nessa zona de servidores DNS públicos, ainda recebi o endereço IP antigo.

Isso não faz sentido para mim. O servidor que consultei não sabia o endereço IP correto para o nome, a menos que soubesse que havia um registro curinga. Caso contrário, eles teriam que perguntar aos nossos servidores de nomes.

Quando eu consulto nossos próprios servidores de nomes para o mesmo nome, eles retornam o novo endereço IP.

Então o que está acontecendo?

domain-name-system

2 respostas

  1. Best Answer

    Dei uma olhada rápida para ver se todos os servidores de nomes autorizados foram sincronizados.

    $ dig +nssearch fm.mg
SOA ns1.hartwig-at.de. hostmaster.hartwig-at.de. 2015022400 86400 10800 2419200 3600 from server 217.70.177.40 in 8 ms.
SOA ns1.hartwig-at.de. hostmaster.hartwig-at.de. 2015060502 86400 10800 2419200 3600 from server 2a00:1158:3::b6 in 25 ms.
SOA ns1.hartwig-at.de. hostmaster.hartwig-at.de. 2015060502 86400 10800 2419200 3600 from server 134.119.4.37 in 26 ms.
SOA ns1.hartwig-at.de. hostmaster.hartwig-at.de. 2015060502 86400 10800 2419200 3600 from server 37.200.99.108 in 28 ms.
SOA ns1.hartwig-at.de. hostmaster.hartwig-at.de. 2015060502 86400 10800 2419200 3600 from server 2a00:1158:3::87 in 28 ms.
$

    Parece que 217.70.177.40está servindo uma versão mais antiga da zona, o que provavelmente explica as variações nos resultados.

    • 7

  2. Se você não estiver usando DNSSEC, não há uma maneira definitiva de o cliente ver se uma resposta foi produzida por um *registro na zona ou por uma correspondência exata.

    O cliente poderia usar a heurística comparando as respostas produzidas ao pesquisar o nome desejado com as respostas produzidas ao pesquisar uma sequência aleatória de caracteres. Se as respostas forem idênticas, é provável que seja um *recorde e, se as respostas forem diferentes, é provável que não seja um *recorde.

    Se a zona for assinada offline com DNSSEC, é possível que um cliente veja se um *registro foi usado. Isso porque o nome usado na assinatura conterá, na verdade, um *caractere literal, o que provará que a resposta foi produzida por meio de um *registro. Além disso, o NSEC3 pode fornecer uma assinatura mostrando que o nome solicitado não pôde ser respondido sem o uso do *registro.

    • 5

relate perguntas