応答が使用可能な UDP 交換に適合せず、フォールバック パスが完了できないため、 DNSルックアップが失敗する可能性があります。大きい TXTレコード, DNSSEC マテリアルと応答の構成によって、この問題が明らかになる可能性があります。チェッカーがレコードを報告しないからといって、キーを削除したり、ポリシーを短縮したりしないでください。まず、リゾルバが完全な応答を取得したかどうかを判断します。
トランケーション信号を読み取る
参考文献: RFC 1035 §4.1.1, RFC 7766 §5, RFC 6891 §6.2.3.
DNSヘッダーの TC ビットは切り捨てを示します。欠落データを必要とするクライアントは通常、TCP を使用して再試行します。最新のDNS実装は、 RFC 7766に基づいて TCP をサポートする必要があります。 DNSは UDP 専用のサービスではありません。 EDNS を使用すると、リクエスタはより大きな UDP ペイロード サイズをアドバタイズできますが、そのアドバタイズは、パス上のすべてのネットワークがパケットを伝送することを保証するものではありません。
IP の断片化、ファイアウォール、壊れたミドルボックスは、大規模な UDP 応答に干渉する可能性があります。 TCP は、Web パネルで特定のTXT値が小さく表示されるかどうかとは無関係に必要になる場合があります。貼り付けた文字数だけでなく、応答とパスも測定します。
2つのレゾルバレッグを分離します
参考文献: RFC 7766 §5, RFC 7208 §4.4.
スタブから再帰と再帰から権威への交換は異なります。ラップトップからパブリック リゾルバーへの TCP が成功しても、メール受信者のリゾルバーが TCP 経由でユーザーの権限に到達できることは証明されません。同様に、直接権限テストでは、受信者が使用するすべての転送リゾルバーが再現されるわけではありません。
クエリの所有者、タイプ、サーバー、トランスポート、EDNS オプション、応答サイズ、フラグ、タイミングを記録します。切り捨てられた部分応答を、選択された応答の完全なセットとして解釈してはなりません。 SPF 政策。 SERVFAILとタイムアウトは、名前が存在しないという証拠にはなりません。アプリケーション レコードを変更する前に、正確なエラーを保存してください。
制御されたフォールバック障害を再現する
使い捨てDNSラボでは、意図的に小さく受け入れられた UDP 応答サイズを超えるのに十分な大きさの応答を構成します。まず、UDP と TCP の両方を許可します。同じ所有者とタイプを要求し、パケットまたはリゾルバー トレースをキャプチャします。予期される証拠には、クライアントがフォールバックを実行するときに、切り詰められた UDP 応答とその後に続く成功した TCP 応答が含まれます。
次に、選択した境界でラボの TCP パスのみをブロックします。同じ入力とキャッシュ状態を制御してクエリを繰り返します。予期される結果は、UDP 交換が機能しているにもかかわらず、その境界での完全なルックアップが失敗することです。テスト直後にルールを復元します。これはラボの仕様であり、運用ネットワークのセキュリティを変更する許可ではありません。この記事では、ファイアウォールベースの手順は実行されていません。以下の歴史的なサービスクローズ実験は、別のより限定的なテストです。
これらのオプションをサポートする BIND dig バージョンがインストールされている場合、 dig @AUTH OWNER TXT +bufsize=512 +ignore 自動 TCP 再試行なしで UDP 応答を公開できますが、 dig @AUTH OWNER TXT +tcp 明示的に TCP を要求します。ラボの値を置き換え、バージョンのヘルプを調べ、完全な出力を保持します。このレビューではコマンドは実行されていません。保持されたカスタム クライアント キャプチャでは、Dig 動作は検証されません。
ポリシーを再設計する前にトランスポートを修復する
参考文献: RFC 7766 §5, RFC 7208 §3.2, RFC 7208 §3.3.
サービスが両方のトランスポートをリッスンしていること、および承認されたネットワーク パスが必要なトラフィックを許可していることを確認します。担当オペレーターにファイアウォールまたはロードバランサーの変更を確認してもらいます。同じ回答を再テストし、意図したパスで完了をキャプチャします。
応答を運用上管理可能な状態に保つことは便利ですが、 TXT値を 1 つのレコード内の文字列に分割しても、本質的に、トランスポート障害を解決できるほどDNS応答の合計が十分に削減されるわけではありません。 1 つのSPFポリシーを複数のポリシー レコードに分割すると、個別の標準違反が作成されます。短く見えるダッシュボードの値ではなく、トランスポートの証拠と、その後の代表的な認証結果によって問題を解決します。
保存されている過去の研究室の証拠
保持されているキャプチャの日付は 2026 年 11 月 7 日です。以下では、 EmailAuth.aiの新しい実行やテストではなく、その限定された履歴観察について説明します。
分離されたDNSサービスは、大規模なTXT応答に対して空の UDP 応答を含む TC を意図的に送信しました。 TCP を介した同じ質問では、TC クリアと 512 バイトを超えるワイヤ長を含む完全な回答が返されました。テスト サービスで受け入れられた TCP 接続を閉じると、クライアントが失敗しました。ファイアウォールや運用ネットワークの設定は変更されていません。これは、強制的な切り捨ての下で実際の UDP および TCP 交換をテストします。 DNSサーバーの自動サイズしきい値や dig 独自のフォールバック実装をテストするとは主張していません。キャプチャ ラベルはlarge_udp_truncatedです。ラージ_tcp_complete; tcp_failure.json。保持されたランナーと生のキャプチャは、歴史的証拠としてこのレビュー パッケージに含まれています。それらは検査されたものであり、このレビューのために再実行されたものではありません。本番環境のDNS 、 DNSSEC 、およびSMTP結果はテストされていません。