Bind9 dynamic zone: de onde vem o atraso entre atualização e disponibilidade?

Question

Eu configurei um servidor de nomes bind9 e criei um subdomínio dedicado (interno), que pode ser atualizado por todos para qualquer finalidade. A configuração é muito simples e funciona em geral, mas há um atraso de até vários minutos, antes que as atualizações tenham efeitos, ou seja, os RRs podem ser recuperados do servidor.

Por que isso e como acelerar isso?

Minha configuração

Existe apenas um servidor, executando um dnsmasq com a seguinte configuração:

no-poll
server=/my.fq.doma.in/127.0.0.1#5353
no-dhcp-interface=eth0,eth1,eth2,eth3
bind-interfaces

e um servidor de nomes bind9 com a seguinte configuração (estou apenas colocando o que considero relevante e solicitado):

options {
    directory "/var/cache/bind";

    dnssec-validation no;
    dnssec-enable no;
    auth-nxdomain no;    # conform to RFC1035

    listen-on port 5353 { 127.0.0.1; }
}

key "notsecretkey" {
        algorithm hmac-md5;
        secret "up_up_and_away/foobar==";
};

zone "my.fq.doma.in." {
        type master;
        file "/var/lib/bind/db.ZONE.mydomain";
        allow-update { key notsecretkey; };
};

Exemplo

Eu fiz uma modificação, onde adicionei um NS RR e um RR.

root@dnshome:/tmp# rndc freeze my.fq.doma.in
root@dnshome:/tmp# rndc thaw my.fq.doma.in
A zone reload and thaw was started.
Check the logs to see the result.
root@dnshome:/tmp# cat /var/lib/bind/db.ZONE.mydomain
$ORIGIN .
$TTL 604800     ; 1 week
my.fq.doma.in          IN SOA  mydomainns.ourdoma.in. dnsmaster  .ourdoma.in. (
                            2015033109 ; serial
                            604800     ; refresh (1 week)
                            86400      ; retry (1 day)
                                2419200    ; expire (4 weeks)
                                604800     ; minimum (1 week)
                                )
                        NS      ns.my.fq.doma.in.
$ORIGIN my.fq.doma.in.
mail                    A       10.30.1.4
$TTL 600        ; 10 minutes
test                    A       2.3.4.5
abc                     NS      ns.abc      # <----- my changes
$ORIGIN abc.my.fq.doma.in.                  # <----- written to
ns                      A       172.16.1.5  # <----- the zonefile

Como podemos ver, depois de freeze e thaw , as últimas três linhas são minhas alterações, escritas no arquivo de zona.

Ainda assim,

root@dnshome:/tmp# nslookup -port=5353 ns.abc.my.fq.doma.in 127.0.0.1
Server:         127.0.0.1
Address:        127.0.0.1#5353

** server can't find ns.abc.my.fq.doma.in: NXDOMAIN

Eu li o arquivo de zona na minha tela, procurando por erros e também verifiquei erros de digitação em minha análise. Eu não encontrei nada, então tentei novamente

root@dnshome:/tmp# nslookup -port=5353 ns.abc.my.fq.doma.in. 127.0.0.1
Server:         127.0.0.1
Address:        127.0.0.1#5353

** server can't find ns.abc.my.fq.doma.in: NXDOMAIN

strage suficiente. Eu vou em frente e tento o outro RR que eu adicionei.

root@dnshome:/tmp# nslookup -port=5353 -type=NS abc.my.fq.doma.in. 127.0.0.1
Server:         127.0.0.1
Address:        127.0.0.1#5353

Non-authoritative answer:
abc.my.fq.doma.in      nameserver = ns.abc.my.fq.doma.in.

Authoritative answers can be found from:
ns.abc.my.fq.doma.in   internet address = 172.16.1.5

mas ainda

root@dnshome:/tmp# nslookup -port=5353 ns.abc.my.fq.doma.in. 127.0.0.1
Server:         127.0.0.1
Address:        127.0.0.1#5353

** server can't find ns.abc.my.fq.doma.in: NXDOMAIN

então eu tentei outro RR mais antigo

root@dnshome:/tmp# nslookup -port=5353 ns.my.fq.doma.in. 127.0.0.1
Server:         127.0.0.1
Address:        127.0.0.1#5353

Name:   ns.my.fq.doma.in
Address: 10.30.1.4

que funcionou, então tentei novamente

root@dnshome:/tmp# nslookup -port=5353 ns.abc.my.fq.doma.in. 127.0.0.1
Server:         127.0.0.1
Address:        127.0.0.1#5353

Non-authoritative answer:
Name:   ns.abc.my.fq.doma.in
Address: 172.16.1.5

e voila, funciona.

Eu sou o único que trabalha nesta máquina e não fiz nada além do que mostrei neste exemplo. Obviamente, há algum tipo de atraso na minha configuração e preciso saber por que e como me livrar dela.