Yanıtın kullanılabilir UDP değişimine uymaması ve geri dönüş yolunun tamamlanamaması nedeniyle DNS araması başarısız olabilir. Büyük TXT kayıtları, DNSSEC materyal ve yanıt bileşimi bu sorunu ortaya çıkarabilir. Bir denetleyici hiçbir kayıt bildirmediği için bir anahtarı kaldırmayın veya politikayı kısaltmayın; Öncelikle çözümleyicinin tam bir yanıt elde edip etmediğini belirleyin.
Kesme sinyalini okuyun
Referanslar: RFC 1035 §4.1.1, RFC 7766 §5, RFC 6891 §6.2.3.
DNS başlığının TC biti kesilmeyi belirtir. Eksik verilere ihtiyaç duyan bir istemci normalde TCP'yi kullanarak yeniden dener. Modern DNS uygulamalarının RFC 7766 kapsamında TCP'yi desteklemesi gerekir; DNS yalnızca UDP hizmeti değildir. EDNS, istekte bulunan kişinin daha büyük bir UDP verisi boyutunun reklamını yapmasına olanak tanır, ancak bu reklam, yoldaki her ağın paketi taşıyacağının garantisi değildir.
IP parçalanması, güvenlik duvarları ve bozuk orta kutular, daha büyük UDP yanıtlarını engelleyebilir. Belirli bir TXT değerinin bir web panelinde küçük görünüp görünmemesinden bağımsız olarak TCP gerekebilir. Yalnızca yapıştırdığınız karakter sayısını değil, yanıtı ve yolu da ölçün.
İki çözümleyici ayağını ayırın
Referanslar: RFC 7766 §5, RFC 7208 §4.4.
Saplamadan özyinelemeli ve özyinelemeliden yetkiliye geçişler farklıdır. Dizüstü bilgisayarınızdan genel çözümleyiciye yapılan başarılı TCP, posta alıcısının çözümleyicisinin TCP üzerinden yetkinize ulaşabileceğini kanıtlamaz. Benzer şekilde, doğrudan yetki testi, bir alıcı tarafından kullanılan her iletme çözümleyicisini yeniden üretmez.
Sorgu sahibini, türünü, sunucusunu, aktarımını, EDNS seçeneklerini, yanıt boyutunu, işaretlerini ve zamanlamasını kaydedin. Kesilmiş bir kısmi yanıt, seçilmiş yanıtların tamamı olarak yorumlanmamalıdır. SPF politikalar. SERVFAIL ve zaman aşımı ismin var olmadığının kanıtı değildir. Uygulama kayıtlarını değiştirmeden önce tam hatayı koruyun.
Kontrollü bir geri dönüş hatasının yeniden üretilmesi
Tek kullanımlık bir DNS laboratuvarında, kasıtlı olarak küçük kabul edilen UDP yanıt boyutunu aşacak kadar büyük bir yanıt yapılandırın. Öncelikle hem UDP'ye hem de TCP'ye izin verin. Aynı sahibi talep edin ve paketleri veya çözümleyici izini yazın ve yakalayın. Beklenen kanıt, istemci geri dönüş gerçekleştirdiğinde başarılı bir TCP yanıtının takip ettiği kesilmiş bir UDP yanıtını içerir.
Daha sonra seçilen sınırda yalnızca laboratuvarın TCP yolunu engelleyin. Sorguyu aynı giriş ve önbellek durumu kontrollü olarak tekrarlayın. Beklenen sonuç, çalışan bir UDP değişimine rağmen bu sınırda tam aramanın başarısız olmasıdır. Testten hemen sonra kuralı geri yükleyin. Bu bir laboratuvar spesifikasyonudur, üretim ağ güvenliğini değiştirme izni değildir; Bu makale için güvenlik duvarı tabanlı prosedür yürütülmedi. Aşağıdaki tarihsel hizmet kapatma deneyi farklı ve daha dar bir testtir.
Bu seçenekleri destekleyen yüklü bir BIND dig sürümüyle, dig @AUTH SAHİBİ TXT +bufsize=512 +ignore UDP yanıtını otomatik TCP yeniden denemesi olmadan açığa çıkarabilir, dig @YETKİLİ SAHİP TXT +tcp TCP'yi açıkça ister. Laboratuvar değerlerini değiştirin, sürümün yardımını inceleyin ve tam çıktıyı koruyun. Bu incelemede komutlar burada yürütülmemiştir. Tutulan özel istemci yakalaması, kazma davranışını doğrulamaz.
İlkeyi yeniden tasarlamadan önce aktarımı onarın
Referanslar: RFC 7766 §5, RFC 7208 §3.2, RFC 7208 §3.3.
Hizmetin her iki aktarımı da dinlediğini ve yetkili ağ yolunun gerekli trafiğe izin verdiğini doğrulayın. Sorumlu operatörün güvenlik duvarı veya yük dengeleyici değişikliklerini incelemesini sağlayın. Aynı yanıtı yeniden test edin ve amaçlanan yol üzerindeki tamamlamayı yakalayın.
Yanıtları operasyonel olarak yönetilebilir tutmak faydalıdır, ancak bir TXT değerini tek bir kayıt içindeki dizelere bölmek, doğal olarak toplam DNS yanıtını aktarım hatalarını çözmeye yetecek kadar azaltmaz. Bir SPF politikasını birden fazla politika kaydına bölmek ayrı bir standart ihlali oluşturur. Sorunu, daha kısa görünen bir kontrol paneli değeriyle değil, aktarım kanıtlarıyla ve ardından temsili kimlik doğrulama sonuçlarıyla kapatın.
Saklanan tarihi laboratuvar kanıtları
Tutulan yakalamanın tarihi 7 Kasım 2026'dır. Aşağıda, EmailAuth.ai yeni bir yürütülmesi veya testi değil, sınırlı geçmiş gözlem açıklanmaktadır.
Yalıtılmış DNS hizmeti, büyük bir TXT yanıtı için kasıtlı olarak boş bir UDP yanıtıyla TC yaydı. TCP üzerinden aynı soru, TC açık ve 512 baytı aşan kablo uzunluğuyla tam yanıtı verdi. Test hizmetinde kabul edilen TCP bağlantılarının kapatılması istemcinin başarısız olmasına neden oldu. Hiçbir güvenlik duvarı veya üretim ağı ayarı değişmedi. Bu, zorunlu kesme altında gerçek UDP ve TCP değişimlerini test eder; bir DNS sunucusunun otomatik boyut eşiğini veya kazının kendi geri dönüş uygulamasını test etme iddiasında değildir. Yakalama etiketleri Large_udp_truncated'tir; büyük_tcp_complete; tcp_failure.json. Tutulan koşucu ve ham yakalamalar bu inceleme paketine tarihsel kanıt olarak dahil edilmiştir. İncelendiler, bu inceleme için tekrar çalıştırılmadılar. Üretim DNS , DNSSEC ve SMTP sonuçları henüz test edilmemiştir.