DNS 超时缓存多长时间？

Question

如果无法联系到整个区域的任何服务器，则该事实将被缓存多长时间？

Answer 1

根据 1998-03 rfc2308#section-7.1，如果解析不成功，并导致SERVFAIL（例如，超时），那么它可以被缓存，但如果是这样，它的缓存时间不得超过 5 分钟。

在实践中，它似乎通常根本不被缓存，或者即使被缓存，也只是被缓存了纯粹象征性的时间，比如一秒钟。

• 在 BIND 9.9.6-S1（2014 年发布）之前，显然SERVFAIL根本没有缓存。

  它是通过commit a878301(2014-09-04)引入的。

  例如，在提出此问题时以及在 2014 年之前发布的所有 BIND 版本中，如果上述提交和有关 9.9.6-S1 中首次介绍的文档可信，则 BIND 递归解析器DID NOT cache 。SERVFAIL

• 在最新的 BIND 中，自 2015 年（截至 2016 年）以来，默认servfail-ttl设置已设置为1s，并已硬编码为上限30s（代替 RFC 规定的上限300s）。

  请参阅提交90174e6(2015-10-17)。

  2014/2015 年期间，默认值为10s，上限为300s，但是，根据下面的引用，发现较高的数字过于悲观。

值得注意的参考文献（带有各自的引用）包括：

• https://kb.isc.org/article/AA-01178/ (2014/2016-01-07)

  缓存 SERVFAIL 响应的结果包括一些不利于客户端体验的情况，特别是当向客户端呈现 SERVFAIL 的原因是暂时的以及立即重试查询的情况时更适当的行动。

• http://cr.yp.to/djbdns/third-party.html (2003-01-11)

  第二种策略是声称广泛的 DNS 客户端在无法访问所有 DNS 服务器时会做一些特别邪恶的事情。这个论点的问题在于这个说法是错误的。任何这样的客户端显然都是有缺陷的，并且将无法在市场上生存：考虑一下如果客户端的路由器短暂宕机，或者客户端的网络暂时被淹没会发生什么。

综上所述，SERVFAIL不太可能被缓存，但即使被缓存，也最多是双位数甚至个位数的秒数。

Answer 2

在 BIND 9.11 中，SERVFAIL响应默认缓存 1 秒。

来自 BIND 管理员参考手册：

servfail-ttl

SERVFAIL设置由于 DNSSEC 验证失败或其他一般服务器故障而缓存响应的秒数。如果设置为 0，SERVFAIL则禁用缓存。如果查询设置了（检查禁用）位，SERVFAIL则不会查阅缓存；CD这允许重试因 DNSSEC 验证而失败的查询，而无需等待SERVFAILTTL 过期。

最大值为30秒；任何更高的值都会默默地减少。默认值为 1 秒。

这是根据RFC 2308实现的，尽管在实践中发现其中指定的最大超时存在问题，因此采用当前默认值。