O que acontece quando seu TTL é danificado em seu registro DNS?

Question

O que acontece quando alguém obtém acesso ao seu controle de DNS e define um TTL de 100 anos em seu domínio, enquanto aponta o IP para algum site obscuro?

(e você descobre isso tarde demais, é claro)

    

Answer 1

Ryan forneceu uma excelente resposta para uma interpretação da sua pergunta. Dado o nosso público-alvo, no entanto, e a situação das pessoas com maior probabilidade de se depararem com a questão, vou responder a outra diferente.

O que uma empresa faz quando um TTL ruim sai do ar?

Você tem algumas opções aqui. Antes de tudo, você precisa identificar o vetor do problema e eliminá-lo. Tentar conter o dano é inútil quando você não tem controle sobre o problema se repetindo.

1. Espere. Se não for um registro crucial, provavelmente você pode esperar. Como Ryan cobriu, o "dano máximo" não é de 68 anos, mas na prática é mais provável que seja de 7 dias. Este é o padrão mais comum para a vida máxima de uma entrada de cache positiva (BIND, JunOS, etc.). Mesmo nos casos em que isso não é preciso, esperamos que o servidor esteja recebendo atualizações de segurança de rotina que forçam a reinicialização do processo. Falando como o operador de vários clusters grandes, não acho provável que um MSO defina isso como um valor maior de propósito: ele serve apenas para gerar mais consultas externas (que odiamos). Você pode ter que seguir para as próximas etapas para empresas que usam softwares menos populares ou operadores que se odeiam.
2. Interrompa os operadores de cache DNS. Se você precisar limpar o registro do cache o mais rápido possível, sua única opção real é começar a procurar os maiores provedores de DNS recursivo que você pode pensar e trabalhar. Algumas dessas empresas provavelmente vão ignorá-lo: ou elas acham que sua empresa é pequena demais para seus clientes, ou instituem suas próprias políticas de limpeza de cache para minimizar o número de chamadas de suporte com as quais precisam lidar. Neste último caso, eles provavelmente darão de ombros e deixarão o problema cuidar de si mesmo no horário agendado. Sua empresa criou esse problema por si só, afinal.
3. Faça com que os clientes do ISP incomodem seus ISPs. Se já faz alguns dias e um grande ISP ignora o registro em cache, tente que um de seus clientes reclame e gere um ticket interno para essa empresa . Isso é mais difícil para eles ignorarem, mas isso não lhe trará nenhum favor com a equipe de operações deles, já que, de sua perspectiva, você fez isso para si mesmo. Se esta é uma ocorrência repetida, eles provavelmente começarão a cancelar esses tickets apenas para te irritarem.
4. Aconselhe seus parceiros a ignorar o registro DNS. Se for um registro DNS de missão crítica consumido por seus parceiros e nenhuma das opções acima for aceitável (ou seja, você está sangrando a receita a cada minuto), sua empresa não tem escolha, mas para trabalhar com seus parceiros para contornar o problema. Se eles não controlarem seu cache local, isso geralmente é feito inserindo entradas na tabela de hosts dos sistemas afetados, pois evita a necessidade de modificar os programas que estão usando o registro DNS. Isso é apenas viável se a perda de receita estiver vinculada a poucas empresas selecionadas que consomem os dados. Em todos os outros casos, você está preso às três primeiras opções.

Answer 2

Bem, em primeiro lugar, o manual de configuração de vinculação que estou observando afirma que o TTL é um inteiro de 32 bits assinado, expresso em segundos, fornecendo um máximo teórico de 2 ^ 31. Diz

Valid TTLs are of the range 0-2147483647 seconds.

Ou aproximadamente 68 anos. Então você provavelmente não pode configurá-lo para 100 anos em primeiro lugar.

Então, digamos que você defina isso para 68 anos. Está bem claro o que aconteceria. Resolvedores de DNS que respeitassem o TTL extremamente longo em seus registros de DNS os armazenariam em cache pelo tempo que pudessem. Alguns resolvedores de DNS não respeitam os TTLs e apenas implementam sua própria política de cache, da maneira que desejarem.

A razão pela qual não podemos colocar um único número rígido nos máximos é porque existem muitas implementações diferentes de DNS criadas por muitos fornecedores diferentes, e todas usam variáveis ligeiramente diferentes. Por exemplo, um servidor DNS em execução no Juniper JunOS só vai até 604800 segundos, ou 7 dias, no TTL.