Rekursiv DNS
DNS-resolver som løser et oppslag fullt ut på vegne av klienten.
En rekursiv DNS-tjener er en resolver som tar imot et oppslag fra en klient og selv står for hele resolusjonsprosessen mot autoritative servere. Klienten får tilbake ett ferdig svar i stedet for å måtte traversere navnehierarkiet selv, og det er det som gjør at vanlige applikasjoner kan bruke DNS uten å implementere noe av protokoll-logikken.
Resolusjonen starter hos en rotnavn-server, fortsetter til TLD-serveren (for eksempel .com), og ender hos den autoritative serveren for domenet. Underveis følger resolveren NS-records publisert på hvert nivå og spør hvert trinn hvor det neste ligger. Sluttsvaret — en A-, AAAA- eller annen post — leveres til klienten sammen med en TTL den må respektere i cachen.
Caching er det som gjør rekursiv DNS praktisk på internettskala. Svar og mellomliggende referanser holdes så lenge postens TTL tillater, og negative svar (NXDOMAIN, NODATA) caches under grensen satt av sonens SOA-minimum. Resultatet er at de fleste reelle oppslag besvares fra lokal cache på mikrosekunder, mens bare kalde oppslag betaler full hierarkitraversering. Denne cachingen former også DNS-propageringen når records endres.
En validerende rekursiv resolver utfører i tillegg DNSSEC-kontroller på hvert signert svar og returnerer SERVFAIL dersom en signatur mangler, er utløpt eller feil, i stedet for å videresende manipulerte data til klienten. Kjente offentlige tjenester er 1.1.1.1 (Cloudflare), 8.8.8.8 (Google) og 9.9.9.9 (Quad9); de fleste ISP-er og bedrifter driver egne i tillegg.
Nøkkelpunkter
- Utfører hele resolusjonsprosessen på vegne av klienten
- Traverserer rot → TLD → autoritativ server via
NS-records - Cacher svar og mellomsvar i henhold til
TTL - Bruker negativ caching styrt av
SOA MINIMUM - Validerende resolvere håndhever
DNSSECog returnererSERVFAILved feil - Drives av ISP-er og offentlige tjenester (
1.1.1.1,8.8.8.8,9.9.9.9) - Forskjellig fra autoritativ DNS som er kilde til sannhet