Servidor DNS do Windows: 3 segundos antes da resposta NXDOMAIN

Question

Eu estou querendo saber se existe uma maneira de controlar o tempo necessário antes de uma resposta NXDOMAIN ser dada. Parece-me que, se uma consulta é feita para um registro que não existe, leva 3 segundos antes que o servidor responda com NXDOMAIN. Esse parece ser o caso no Windows Server 2008 R2 e no Windows Server 2012 R2. Eu tenho uma captura de pacotes abaixo. Para os propósitos da minha pergunta, meu servidor é autoritativo para example.com e example2.com:

09:13:06.846116 IP 10.200.242.165.49505 > 10.200.1.13.53:  33831+ A? asr-1.example.com. (46)
09:13:09.855028 IP 10.200.1.13.53 > 10.200.242.165.49505:  33831 NXDomain* 0/1/0 (112)

Eu fiz ping em um host que eu sabia que não existia, mas parece que demorou uns 3 segundos antes de me dizer que não existia (de 09:13:06 a 09:13:09). Para que você não pense que está encaminhando para algum lugar para resolver asr-1.example.com, obtenho o mesmo resultado se eu nslookup -norecurse asr-1.example.com.

Só para mostrar a você que o servidor é realmente rápido, aqui está uma saída de captura de pacote de onde procurei o host em seu domínio real:

09:13:09.855416 IP 10.200.242.165.49542 > 10.200.1.13.53:  47128+ A? asr-1.example2.com. (46)
09:13:09.855889 IP 10.200.1.13.53 > 10.200.242.165.49542:  47128* 1/0/0 (62)

Essa é uma resposta de 0,4 milissegundo ... por isso, meu servidor DNS não está lento.

Então ... existe uma maneira de configurar o servidor DNS para não esperar tanto tempo para retornar uma resposta NXDOMAIN para um domínio que é autoritativo?

    

Answer 1

Eu encontrei o problema. Eu sou o engenheiro de rede, não o cara AD, então eu originalmente não configurei o DNS - eles simplesmente me deram acesso a ele. O problema é que a guia WINS do domínio foi configurada para "Usar pesquisa direta do WINS". Se você clicar em "Avançado", haverá uma configuração "Loookp time-out", que é definida como 2 segundos. Se eu desabilitar o encaminhamento do WINS, ele retornará o NXDOMAIN instantaneamente, como seria de se esperar. yay!

    

Answer 2

Observe que um servidor de nomes autoritativo pode responder com NXDOMAIN imediatamente porque não precisa esperar pelos encaminhadores ou consultas iterativas . Seu Windows Server nesta situação é um servidor dns recursivo . Portanto, há sempre algum atraso, mas pode ser ajustado um pouco.

É possível configurar o número de segundos antes do tempo limite das consultas futuras .

1. Abra dnsmgmt.msc .
2. Clique com o botão direito do mouse no nome do servidor DNS e escolha Propriedades .

3. Na guia Encaminhadores, clique em Editar ... .

   

4. Escolhaaquantidadedesegundos.

   • Opadrãoé3.
   • Omínimodeveser2ouasconsultaspodemexpirarantesquetodasasiteraçõessejamconcluídas.
   • >10segundosnãoérecomendado,jáqueoclientepodeexpirarantesdaresposta.

Oequivalentenalinhadecomandoé dnscmd /resetforwarders :

dnscmd <ServerName> /ResetForwarders <MasterIPaddress ...> [/TimeOut <Time>] [/Slave]