[要約] RFC 3226は、DNSSECとIPv6 A6対応のサーバー/リゾルバのメッセージサイズ要件に関するものです。このRFCの目的は、DNSSECとIPv6 A6の実装において、適切なメッセージサイズを確保するためのガイドラインを提供することです。
Network Working Group O. Gudmundsson
Request for Comments: 3226 December 2001
Updates: 2874, 2535
Category: Standards Track
DNSSEC and IPv6 A6 aware server/resolver message size requirements
DNSSECおよびIPv6 A6 Aware Server/Resolverメッセージサイズの要件
Status of this Memo
本文書の位置付け
This document specifies an Internet standards track protocol for the Internet community, and requests discussion and suggestions for improvements. Please refer to the current edition of the "Internet Official Protocol Standards" (STD 1) for the standardization state and status of this protocol. Distribution of this memo is unlimited.
このドキュメントは、インターネットコミュニティのインターネット標準トラックプロトコルを指定し、改善のための議論と提案を要求します。このプロトコルの標準化状態とステータスについては、「インターネット公式プロトコル標準」（STD 1）の現在のエディションを参照してください。このメモの配布は無制限です。
Copyright Notice
著作権表示
Copyright (C) The Internet Society (2001). All Rights Reserved.
Copyright（c）The Internet Society（2001）。無断転載を禁じます。
Abstract
概要
This document mandates support for EDNS0 (Extension Mechanisms for DNS) in DNS entities claiming to support either DNS Security Extensions or A6 records. This requirement is necessary because these new features increase the size of DNS messages. If EDNS0 is not supported fall back to TCP will happen, having a detrimental impact on query latency and DNS server load. This document updates RFC 2535 and RFC 2874, by adding new requirements.
このドキュメントは、DNSセキュリティ拡張機能またはA6レコードのいずれかをサポートすると主張するDNSエンティティのEDNS0（DNSの拡張メカニズム）のサポートを義務付けています。これらの新機能がDNSメッセージのサイズを増加させるため、この要件が必要です。EDNS0がサポートされていない場合、TCPに戻ることが発生し、クエリレイテンシとDNSサーバーの負荷に有害な影響を与えます。このドキュメントは、新しい要件を追加することにより、RFC 2535とRFC 2874を更新します。
Familiarity with the DNS [RFC1034, RFC1035], DNS Security Extensions [RFC2535], EDNS0 [RFC2671] and A6 [RFC2874] is helpful.
DNS [RFC1034、RFC1035]、DNSセキュリティ拡張[RFC2535]、EDNS0 [RFC2671]、A6 [RFC2874]に精通していることが役立ちます。
STD 13, RFC 1035 Section 2.3.4 requires that DNS messages over UDP have a data payload of 512 octets or less. Most DNS software today will not accept larger UDP datagrams. Any answer that requires more than 512 octets, results in a partial and sometimes useless reply with the Truncation Bit set; in most cases the requester will then retry using TCP. Furthermore, server delivery of truncated responses varies widely and resolver handling of these responses also varies, leading to additional inefficiencies in handling truncation.
STD 13、RFC 1035セクション2.3.4では、UDP上のDNSメッセージには512オクテット以下のデータペイロードが必要です。今日のほとんどのDNSソフトウェアは、より大きなUDPデータグラムを受け入れません。512を超えるオクテットを必要とする答えは、切り捨てビットセットで部分的で、時には役に立たない返信をもたらします。ほとんどの場合、要求者はTCPを使用して再試行します。さらに、切り捨てられた応答のサーバー配信は大きく異なり、これらの応答のリゾルバの取り扱いも異なり、切り捨ての処理における追加の非効率性につながります。
Compared to UDP, TCP is an expensive protocol to use for a simple transaction like DNS: a TCP connection requires 5 packets for setup and tear down, excluding data packets, thus requiring at least 3 round trips on top of the one for the original UDP query. The DNS server also needs to keep a state of the connection during this transaction. Many DNS servers answer thousands of queries per second, requiring them to use TCP will cause significant overhead and delays.
UDPと比較して、TCPはDNSのような単純なトランザクションに使用する高価なプロトコルです。TCP接続には、データパケットを除くセットアップと解体に5つのパケットが必要であるため、元のUDPの上に少なくとも3回のラウンドトリップが必要です。クエリ。また、DNSサーバーは、このトランザクション中に接続の状態を維持する必要があります。多くのDNSサーバーは、毎秒数千のクエリに回答し、TCPを使用することを要求すると、大きなオーバーヘッドと遅延が発生します。
The key words "MUST", "REQUIRED", "SHOULD", "RECOMMENDED", and "MAY" in this document are to be interpreted as described in RFC 2119.
このドキュメントの「必須」、「必須」、「必須」、「必要」、「推奨」、および「5月」は、RFC 2119で説明されているように解釈されます。
DNSSEC [RFC2535] secures DNS by adding a Public Key signature on each RR set. These signatures range in size from about 80 octets to 800 octets, most are going to be in the range of 80 to 200 octets. The addition of signatures on each or most RR sets in an answer significantly increases the size of DNS answers from secure zones.
DNSSEC [RFC2535]は、各RRセットに公開キーの署名を追加することによりDNSを保護します。これらの署名は、サイズの約80オクテットから800オクテットの範囲で、ほとんどは80〜200オクテットの範囲になります。回答の各またはほとんどのRRセットに署名を追加すると、安全なゾーンからのDNS回答のサイズが大幅に増加します。
For performance reasons and to reduce load on DNS servers, it is important that security aware servers and resolvers get all the data in Answer and Authority section in one query without truncation. Sending Additional Data in the same query is helpful when the server is authoritative for the data, and this reduces round trips.
パフォーマンス上の理由とDNSサーバーの負荷を削減するには、セキュリティを認識しているサーバーとリゾルバーが、回復なしで1つのクエリですべてのデータを回答と権限のセクションで取得することが重要です。サーバーがデータに対して信頼できる場合、同じクエリで追加のデータを送信することは役立ち、これにより往復が減少します。
DNSSEC OK[OK] specifies how a client can, using EDNS0, indicate that it is interested in receiving DNSSEC records. The OK bit does not eliminate the need for large answers for DNSSEC capable clients.
DNSSEC OK [OK] EDNS0を使用して、クライアントがDNSSECレコードの受信に関心があることを示す方法を指定します。OKビットは、DNSSEC有能なクライアントの大きな答えの必要性を排除しません。
TSIG [RFC2845] allows for the light weight authentication of DNS messages, but increases the size of the messages by at least 70 octets. DNSSEC specifies for computationally expensive message authentication SIG(0) using a standard public key signature. As only one TSIG or SIG(0) can be attached to each DNS answer the size increase of message authentication is not significant, but may still lead to a truncation.
TSIG [RFC2845]は、DNSメッセージの軽量認証を可能にしますが、メッセージのサイズを少なくとも70オクテットで増やします。DNSSECは、標準の公開キーの署名を使用して、計算高価なメッセージ認証SIG（0）を指定します。各DNSに1つのTSIGまたはSIG（0）のみを接続できるため、メッセージ認証のサイズの増加は重要ではありませんが、それでも切り捨てにつながる可能性があります。
IPv6 addresses [RFC2874] are 128 bits and can be represented in the DNS by multiple A6 records, each consisting of a domain name and a bit field. The domain name refers to an address prefix that may require additional A6 RRs to be included in the answer. Answers where the queried name has multiple A6 addresses may overflow a 512- octet UDP packet size.
IPv6アドレス[RFC2874]は128ビットであり、それぞれがドメイン名とビットフィールドで構成される複数のA6レコードでDNSで表現できます。ドメイン名は、回答に含めるために追加のA6 RRSを必要とする可能性のあるアドレスプレフィックスを指します。クエリ名に複数のA6アドレスがある場合は、512-Octet UDPパケットサイズにオーバーフローする場合があります。
The current number of root servers is limited to 13 as that is the maximum number of name servers and their address records that fit in one 512-octet answer for a SOA record. If root servers start advertising A6 or KEY records then the answer for the root NS records will not fit in a single 512-octet DNS message, resulting in a large number of TCP query connections to the root servers. Even if all client resolver query their local name server for information, there are millions of these servers. Each name server must periodically update its information about the high level servers.
ルートサーバーの現在の数は13に制限されています。これは、SOAレコードの1つの512-OCTET回答に適合する名前サーバーの最大数とそのアドレスレコードです。ルートサーバーがA6またはキーレコードの広告を開始する場合、Root NSレコードの回答は単一の512-OCTET DNSメッセージに収まらないため、ルートサーバーへの多数のTCPクエリ接続が得られます。すべてのクライアントリゾルバーがローカルネームサーバーの情報を照会しても、これらのサーバーは何百万もあります。各名前サーバーは、高レベルサーバーに関する情報を定期的に更新する必要があります。
For redundancy, latency and load balancing reasons, large numbers of DNS servers are required for some zones. Since the root zone is used by the entire net, it is important to have as many servers as possible. Large TLDs (and many high-visibility SLDs) often have enough servers that either A6 or KEY records would cause the NS response to overflow the 512 byte limit. Note that these zones with large numbers of servers are often exactly those zones that are critical to network operation and that already sustain fairly high loads.
冗長性、遅延、負荷分散の理由には、一部のゾーンには多数のDNSサーバーが必要です。ルートゾーンはネット全体で使用されるため、できるだけ多くのサーバーを持つことが重要です。大規模なTLD（および多くの視認性SLD）には、A6またはキーレコードのいずれかが512バイト制限をオーバーフローするためのNS応答を引き起こす十分なサーバーを持っていることがよくあります。多数のサーバーを備えたこれらのゾーンは、多くの場合、ネットワーク操作に不可欠なゾーンであり、すでにかなり高い負荷を維持するゾーンであることに注意してください。
Given all these factors, it is essential that any implementation that supports DNSSEC and or A6 be able to use larger DNS messages than 512 octets.
これらすべての要因を考えると、DNSSECおよびまたはA6をサポートする実装では、512オクテットよりも大きなDNSメッセージを使用できることが不可欠です。
The original 512 restriction was put in place to reduce the probability of fragmentation of DNS responses. A fragmented UDP message that suffers a loss of one of the fragments renders the answer useless and the query must be retried. A TCP connection requires a larger number of round trips for establishment, data transfer and tear down, but only the lost data segments are retransmitted.
元の512制限は、DNS応答の断片化の可能性を減らすために導入されました。フラグメントの1つを失うことに苦しむ断片化されたUDPメッセージは、答えを役に立たなくし、クエリを再試行する必要があります。TCP接続には、設立、データの転送、解体のためのより多くのラウンド旅行が必要ですが、失われたデータセグメントのみが再送信されます。
In the early days a number of IP implementations did not handle fragmentation well, but all modern operating systems have overcome that issue thus sending fragmented messages is fine from that standpoint. The open issue is the effect of losses on fragmented messages. If connection has high loss ratio only TCP will allow reliable transfer of DNS data, most links have low loss ratios thus sending fragmented UDP packet in one round trip is better than establishing a TCP connection to transfer a few thousand octets.
初期の頃は、多くのIP実装が断片化をうまく処理しませんでしたが、最新のオペレーティングシステムはすべてその問題を克服しているため、断片化されたメッセージを送信することはその観点からは問題ありません。未解決の問題は、断片化されたメッセージに対する損失の影響です。接続の損失比のみがTCPのみでDNSデータの信頼できる転送を可能にする場合、ほとんどのリンクは低損失比が低いため、1回の往復で断片化されたUDPパケットを送信すると、数千オクテットを転送するためのTCP接続を確立するよりも優れています。
EDNS0 [RFC2671] allows clients to declare the maximum size of UDP message they are willing to handle. Thus, if the expected answer is between 512 octets and the maximum size that the client can accept, the additional overhead of a TCP connection can be avoided.
EDNS0 [RFC2671]を使用すると、クライアントは、処理したいUDPメッセージの最大サイズを宣言できます。したがって、予想される回答が512オクテットの間で、クライアントが受け入れることができる最大サイズの場合、TCP接続の追加オーバーヘッドを回避できます。
3. Protocol changes:
3. プロトコルの変更：
This document updates RFC 2535 and RFC 2874, by adding new requirements.
このドキュメントは、新しい要件を追加することにより、RFC 2535とRFC 2874を更新します。
All RFC 2535 compliant servers and resolvers MUST support EDNS0 and advertise message size of at least 1220 octets, but SHOULD advertise message size of 4000. This value might be too low to get full answers for high level servers and successor of this document may require a larger value.
すべてのRFC 2535準拠サーバーとリゾルバーは、EDNS0をサポートし、少なくとも1220オクテットのメッセージサイズを宣伝する必要がありますが、4000のメッセージサイズを宣伝する必要があります。より大きな値。
All RFC 2874 compliant servers and resolver MUST support EDNS0 and advertise message size of at least 1024 octets, but SHOULD advertise message size of 2048. The IPv6 datagrams should be 1024 octets, unless the MTU of the path is known. (Note that this is smaller than the minimum IPv6 MTU to allow for some extension headers and/or encapsulation without exceeding the minimum MTU.)
すべてのRFC 2874準拠のサーバーとリゾルバーは、EDNS0をサポートし、少なくとも1024オクテットのメッセージサイズを宣伝する必要がありますが、2048年のメッセージサイズを宣伝する必要があります。PATHのMTUがわかっていない限り、IPv6データグラムは1024オクテットでなければなりません。（これは、最小MTUを超えることなく、一部の拡張ヘッダーやカプセル化を可能にするために、最小IPv6 MTUよりも小さいことに注意してください。）
All RFC 2535 and RFC 2874 compliant entities MUST be able to handle fragmented IPv4 and IPv6 UDP packets.
すべてのRFC 2535およびRFC 2874準拠のエンティティは、断片化されたIPv4およびIPv6 UDPパケットを処理できる必要があります。
All hosts supporting both RFC 2535 and RFC 2874 MUST use the larger required value in EDNS0 advertisements.
RFC 2535とRFC 2874の両方をサポートするすべてのホストは、EDNS0広告でより大きな必要値を使用する必要があります。
Harald Alvestrand, Rob Austein, Randy Bush, David Conrad, Andreas Gustafsson, Jun-ichiro itojun Hagino, Bob Halley, Edward Lewis Michael Patton and Kazu Yamamoto were instrumental in motivating and shaping this document.
ハラルド・アルベスランド、ロブ・オーストイン、ランディ・ブッシュ、デビッド・コンラッド、アンドレアス・グスタフソン、ジュン・イトジョン・ハギーノ、ボブ・ハレー、エドワード・ルイス・マイケル・パットン、ヤマモトはこの文書の動機付けと形成に貢献しました。
5. Security Considerations:
5. セキュリティ上の考慮事項：
There are no additional security considerations other than those in RFC 2671.
RFC 2671のセキュリティに関する考慮事項以外には、追加のセキュリティ上の考慮事項はありません。
6. IANA Considerations:
6. IANAの考慮事項：
None
なし
[RFC1034] Mockapetris, P., "Domain Names - Concepts and Facilities", STD 13, RFC 1034, November 1987.
[RFC1034] Mockapetris、P。、「ドメイン名 - 概念と施設」、STD 13、RFC 1034、1987年11月。
[RFC1035] Mockapetris, P., "Domain Names - Implementation and Specification", STD 13, RFC 1035, November 1987.
[RFC1035] Mockapetris、P。、「ドメイン名 - 実装と仕様」、STD 13、RFC 1035、1987年11月。
[RFC2535] Eastlake, D. "Domain Name System Security Extensions", RFC 2535, March 1999.
[RFC2535]イーストレイク、D。「ドメイン名システムセキュリティ拡張機能」、RFC 2535、1999年3月。
[RFC2671] Vixie, P., "Extension Mechanisms for DNS (EDNS0)", RFC 2671, August 1999.
[RFC2671] Vixie、P。、「DNSの拡張メカニズム（EDNS0）」、RFC 2671、1999年8月。
[RFC2845] Vixie, P., Gudmundsson, O., Eastlake, D. and B. Wellington, "Secret Key Transaction Authentication for DNS (TSIG)", RFC 2845, May 2000.
[RFC2845] Vixie、P.、Gudmundsson、O.、Eastlake、D.およびB. Wellington、「DNSのシークレットキートランザクション認証」、RFC 2845、2000年5月。
[RFC2874] Crawford, M. and C. Huitema, "DNS Extensions to Support IPv6 Address Aggregation and Renumbering", RFC 2874, July 2000.
[RFC2874] Crawford、M。およびC. Huitema、「IPv6アドレスの集約と変更をサポートするDNS拡張」、RFC 2874、2000年7月。
[RFC3225] Conrad, D., "Indicating Resolver Support of DNSSEC", RFC 3225, December 2001.
[RFC3225] Conrad、D。、「DNSSECのリゾルバーサポートを示す」、RFC 3225、2001年12月。
Olafur Gudmundsson 3826 Legation Street, NW Washington, DC 20015 USA
Olafur Gudmundsson 3826 Legation Street、NW Washington、DC 20015 USA
EMail: ogud@ogud.com
Copyright (C) The Internet Society (2001). All Rights Reserved.
Copyright（c）The Internet Society（2001）。無断転載を禁じます。
This document and translations of it may be copied and furnished to others, and derivative works that comment on or otherwise explain it or assist in its implementation may be prepared, copied, published and distributed, in whole or in part, without restriction of any kind, provided that the above copyright notice and this paragraph are included on all such copies and derivative works. However, this document itself may not be modified in any way, such as by removing the copyright notice or references to the Internet Society or other Internet organizations, except as needed for the purpose of developing Internet standards in which case the procedures for copyrights defined in the Internet Standards process must be followed, or as required to translate it into languages other than English.
このドキュメントと翻訳は他の人にコピーされて提供される場合があります。また、それについてコメントまたは説明する派生作品、またはその実装を支援することは、いかなる種類の制限なしに、準備、コピー、公開、および部分的に配布される場合があります。、上記の著作権通知とこの段落がそのようなすべてのコピーとデリバティブ作品に含まれている場合。ただし、このドキュメント自体は、インターネット協会や他のインターネット組織への著作権通知や参照を削除するなど、いかなる方法でも変更できない場合があります。インターネット標準プロセスに従うか、英語以外の言語に翻訳するために必要な場合に従う必要があります。
The limited permissions granted above are perpetual and will not be revoked by the Internet Society or its successors or assigns.
上記の限られた許可は永続的であり、インターネット社会またはその後継者または譲受人によって取り消されることはありません。
This document and the information contained herein is provided on an "AS IS" basis and THE INTERNET SOCIETY AND THE INTERNET ENGINEERING TASK FORCE DISCLAIMS ALL WARRANTIES, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF THE INFORMATION HEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES OF MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE.
この文書と本書に含まれる情報は、「現状」に基づいて提供されており、インターネット社会とインターネットエンジニアリングタスクフォースは、ここにある情報の使用が行われないという保証を含むがこれらに限定されないすべての保証を否認します。特定の目的に対する商品性または適合性の権利または黙示的な保証を侵害します。
Acknowledgement
謝辞
Funding for the RFC Editor function is currently provided by the Internet Society.
RFCエディター機能の資金は現在、インターネット協会によって提供されています。