Defina o problema antes de alterar DNS
A pesquisa nula diagnóstico significa mais do que “ DNS não forneceu o endereço esperado”. RFC 7208 descreve consultas relevantes que retornam uma resposta positiva com zero respostas ou uma resposta de erro de nome. Eles são comumente chamados de pesquisas nulas. Um tempo limite ou falha do servidor não é a mesma categoria de resposta. Tratar todas as pesquisas malsucedidas como nulas pode transformar um incidente de resolução transitório em uma recomendação incorreta para reescrever uma política de remetente válida.
O padrão diz que as implementações DEVEM limitar as pesquisas de void a duas. Ele permite um limite configurável e recomenda dois como padrão nesse caso. Exceder o limite aplicável produz permerror. Preserve essas distinções normativas: dois não é uma OBRIGAÇÃO universal incondicional em todas as implementações, mas um revisor também não deve presumir que um receptor desconhecido aumentou seu limite. RFC 7208 , seção 4.6.4
Mantenha dois contadores separados
O geral SPF limites de orçamento avaliaram termos causadores de DNS, incluindo incluir, a, mx, ptr, existe e redirecionamento. A restrição de nulos diz respeito à qualificação de respostas vazias ou inexistentes encontradas durante a avaliação. Eles se sobrepõem nas consequências operacionais, mas medem coisas diferentes. Uma política pode encontrar respostas problemáticas e vazias antes de esgotar o seu orçamento global. Um longo caminho de dependência bem sucedido pode esgotar o orçamento a prazo sem produzir respostas nulas.
Uma contagem de captura de pacotes, uma contagem de acertos do cache do resolvedor e uma contagem de termos SPF não são intercambiáveis. O cache pode alterar a atividade da rede sem tornar a política lógica livre para avaliação. Da mesma forma, um termo sintático pode exigir trabalho de resolução adicional ou ter suas próprias restrições suplementares. Mantenha o termo avaliado, o nome expandido da consulta, o tipo de registro, a classificação das respostas e os totais acumulados em campos distintos. RFC 7208 , seção 4.6.4
Colete detalhes de resposta suficientes para classificar o evento
Para uma investigação autorizada proposta, preserve o nome e o tipo consultado, o código de resposta DNS , a contagem de respostas, os registros retornados relevantes, o contexto do resolvedor e o carimbo de data/hora. Mantenha a resposta bruta ou uma transcrição estruturada fiel, não apenas um rótulo verde ou vermelho no painel. Uma resposta positiva sem respostas não deve ser reformulada silenciosamente como NXDOMAIN . Ambos podem ser importantes para anular a contabilidade, mas seus significados DNS e caminhos de correção podem ser diferentes.
Registre se a pesquisa foi realmente alcançada pelo avaliador SPF . Uma ferramenta de descoberta estática pode explorar dependências que a mensagem específica nunca avalia. Essa exploração pode revelar riscos, mas não é evidência de que a mensagem tenha consumido essas pesquisas. Identifique o endereço de conexão, a entrada do remetente e a ramificação da política para que outro revisor possa entender por que um mecanismo foi avaliado ou ignorado.
Preservar os erros separadamente. Um tempo limite, um log de coleta truncado ou um resolvedor inacessível é uma incerteza que precisa de sua própria classificação. Não substitua as observações faltantes por uma resposta supostamente vazia. A investigação deve ser reproduzível sem exigir que o revisor infira os tipos de resposta da prosa.
Interprete os mecanismos antes de propor um reparo
Existe um mecanismo que testa se o domínio expandido possui dados de endereço na forma definida pelo padrão. Um mecanismo compara os endereços relevantes com o cliente conectado. Seus resultados incompatíveis não estabelecem, por si só, que o editor cometeu um erro. Algumas políticas usam intencionalmente verificações de existência. A questão de diagnóstico é se o caminho real permanece dentro dos limites aplicáveis e se a dependência ainda serve ao propósito de autorização pretendido.
Um alvo de inclusão inexistente merece uma explicação diferente. Incluir avalia recursivamente uma política; um filho nenhum resultado é mapeado para permerror , em vez de ser tratado como um não-correspondente comum que falha com segurança. Assim, um relatório pode encontrar dados DNS ausentes e ter um erro de inclusão mais imediato do que uma explicação cumulativa de limite de anulação. Explique o erro mais antigo suportado, e não todas as consequências imagináveis do mesmo nome ausente. RFC 7208 , seção 5.2, 5.3 e 5.7
Planilha operacional e critérios de aceitação
Prepare uma planilha com colunas para etapa, incluindo política, mecanismo, destino expandido, tipo de consulta, código de resposta, contagem de respostas, total de prazo lógico, total nulo e decisão de continuação. Inclua a configuração documentada do limite de vazios do avaliador, se disponível. Se essa configuração for desconhecida, declare a suposição e evite atribuí-la a um serviço receptor real sem evidências.
Para cada resposta suspeita vazia, atribua um proprietário que possa confirmar se o alvo é atual. Um erro tipográfico, dependência de provedor aposentado, teste de existência intencional e evidências temporariamente indisponíveis exigem respostas diferentes. Documente a correção proposta e as rotas do remetente que ela pode afetar. Nunca substitua um fornecedor adivinhado apenas porque seu nome parece familiar.
A aceitação requer um caminho coerente e uma ramificação exata com falha, e não apenas menos termos em um rascunho de registro. O revisor deve ser capaz de identificar qual resposta foi classificada como nula, quando o limite configurado foi excedido e por que aquele evento determinou o resultado. Após qualquer alteração aprovada separadamente, as evidências atuais seriam necessárias novamente porque as dependências e os caches do provedor podem diferir do instantâneo de planejamento.
Diagnóstico fictício: respostas vazias versus um resolvedor indisponível
Imagine uma política inteiramente fictícia que realiza três verificações de existência em ordem, cada uma retornando uma resposta positiva com zero respostas. Suponha um avaliador fictício configurado com um limite de nulos de dois e nenhuma correspondência ou erro anterior. Na terceira resposta de qualificação, o rastreamento proposto identifica o limite excedido e permerror . Este é um cenário explicativo, não um dispositivo executado ou uma reclamação sobre qualquer fornecedor.
Altere a terceira observação para um tempo limite. O diagnóstico não pode mais dizer que esta resposta foi a terceira resposta nula. O investigador deve preservar o erro temporário DNS e o tratamento do avaliador, em vez de forçar o evento na explicação anterior. Mude a segunda observação para uma resposta de endereço positiva que corresponda ao mecanismo existente, e a ramificação posterior poderá nunca ser alcançada.
Essas variações mostram por que uma lista simples de nomes de host não resolvidos é insuficiente. Os fatos relevantes são a semântica da resposta, a ordem e o ponto final. Eles também mostram por que o mesmo texto político pode produzir caminhos diferentes para diferentes entradas ou estados DNS sem implicar que um observador tenha fabricado o seu resultado.
Mantenha as evidências originais e as portas de liberação abertas
Nenhum domínio público ou privado foi consultado para este manuscrito. A planilha é um método proposto e o diagnóstico trabalhado é fictício. O catálogo requer um caminho anotado mostrando cada termo contado e a ramificação exata com falha; esse requisito permanece aberto até que existam evidências autorizadas reais e sejam revisadas.
Uma publicação deve rotular o contexto do resolvedor, o tempo de coleta e as suposições do avaliador. Ele não deve reivindicar o comportamento universal do receptor a partir do limite configurável de uma implementação. A aplicabilidade da fonte, revisão humana, evidências originais, rotas de produção, acessibilidade visual e liberação do proprietário permanecem em aberto. Qualquer reparo real DNS pertence a um processo de alteração autorizado separadamente, com um inventário de remetente atual e um plano de reversão.