Network Working Group O. Gudmundsson
Request for Comments: 3226 December 2001
Updates: 2874, 2535
Category: Standards Track
DNSSEC and IPv6 A6 aware server/resolver message size requirements
DNSSECとIPv6 A6意識し、サーバ/リゾルバのメッセージサイズ要件
Status of this Memo
このメモの位置付け
This document specifies an Internet standards track protocol for the Internet community, and requests discussion and suggestions for improvements. Please refer to the current edition of the "Internet Official Protocol Standards" (STD 1) for the standardization state and status of this protocol. Distribution of this memo is unlimited.
この文書は、インターネットコミュニティのためのインターネット標準トラックプロトコルを指定し、改善のための議論と提案を要求します。このプロトコルの標準化状態と状態への「インターネット公式プロトコル標準」（STD 1）の最新版を参照してください。このメモの配布は無制限です。
Copyright Notice
著作権表示
Copyright (C) The Internet Society (2001). All Rights Reserved.
著作権（C）インターネット協会（2001）。全著作権所有。
Abstract
抽象
This document mandates support for EDNS0 (Extension Mechanisms for DNS) in DNS entities claiming to support either DNS Security Extensions or A6 records. This requirement is necessary because these new features increase the size of DNS messages. If EDNS0 is not supported fall back to TCP will happen, having a detrimental impact on query latency and DNS server load. This document updates RFC 2535 and RFC 2874, by adding new requirements.
このドキュメントの義務は、DNSセキュリティ拡張機能またはA6レコードのいずれかをサポートするために主張DNSエンティティにEDNS0（DNS用拡張メカニズム）をサポート。これらの新機能は、DNSメッセージのサイズを増やすため、この要件が必要です。 EDNS0がサポートされていない場合は、バックTCPの秋には、クエリの待機時間およびDNSサーバーの負荷に有害な影響を与えて、起こります。新しい要件を追加することによって、このドキュメントの更新RFC 2535およびRFC 2874、。
Familiarity with the DNS [RFC1034, RFC1035], DNS Security Extensions [RFC2535], EDNS0 [RFC2671] and A6 [RFC2874] is helpful.
DNS [RFC1034、RFC1035]に精通して、DNSセキュリティ拡張[RFC2535]、EDNS0 [RFC2671]とA6 [RFC2874]が便利です。
STD 13, RFC 1035 Section 2.3.4 requires that DNS messages over UDP have a data payload of 512 octets or less. Most DNS software today will not accept larger UDP datagrams. Any answer that requires more than 512 octets, results in a partial and sometimes useless reply with the Truncation Bit set; in most cases the requester will then retry using TCP. Furthermore, server delivery of truncated responses varies widely and resolver handling of these responses also varies, leading to additional inefficiencies in handling truncation.
STD 13、RFC 1035のセクション2.3.4は、UDP上のDNSメッセージが512オクテット以下のデータペイロードを持っていることが必要です。ほとんどのDNSソフトウェアは本日、より大きなUDPデータグラムを受け付けません。 512以上のオクテット、切り捨てビットがセットされた部分、時には役に立たない回答で結果を必要とするすべての答え。ほとんどの場合、要求者は、TCPを使用して再試行します。さらに、切断型応答のサーバ送達は広く変化し、これらの応答のレゾルバ取り扱いも切り捨ての処理に追加の非効率性をもたらす、変化します。
Compared to UDP, TCP is an expensive protocol to use for a simple transaction like DNS: a TCP connection requires 5 packets for setup and tear down, excluding data packets, thus requiring at least 3 round trips on top of the one for the original UDP query. The DNS server also needs to keep a state of the connection during this transaction. Many DNS servers answer thousands of queries per second, requiring them to use TCP will cause significant overhead and delays.
UDPと比較すると、TCPは、DNSのような単純な取引に使用する高価なプロトコルです：TCP接続のセットアップのための5つのパケットを必要とするので、元のUDPのための1つの上に少なくとも3ラウンドトリップを必要とし、データパケットを除く、取り壊しますクエリ。 DNSサーバーは、このトランザクションの間の接続の状態を維持する必要があります。多くのDNSサーバは、かなりのオーバーヘッドや遅延が発生しますTCPを使用するように要求する、秒あたりのクエリ数千人を答えます。
The key words "MUST", "REQUIRED", "SHOULD", "RECOMMENDED", and "MAY" in this document are to be interpreted as described in RFC 2119.
キーワード「MUST」、「必須」、「推奨」、「SHOULD」とは、本書ではRFC 2119に記載されるように解釈される「場合があります」。
DNSSEC [RFC2535] secures DNS by adding a Public Key signature on each RR set. These signatures range in size from about 80 octets to 800 octets, most are going to be in the range of 80 to 200 octets. The addition of signatures on each or most RR sets in an answer significantly increases the size of DNS answers from secure zones.
DNSSEC [RFC2535]は、各RRセットに公開鍵署名を追加することによって、DNSを確保します。これらの署名は、ほとんどが80〜200オクテットの範囲であることを行っている、約80オクテットから800オクテットのサイズの範囲。アンサー内の各または最もRRセットの署名の添加は有意にセキュアゾーンからのDNS回答のサイズを増大させます。
For performance reasons and to reduce load on DNS servers, it is important that security aware servers and resolvers get all the data in Answer and Authority section in one query without truncation. Sending Additional Data in the same query is helpful when the server is authoritative for the data, and this reduces round trips.
パフォーマンス上の理由およびDNSサーバーの負荷を軽減するため、セキュリティ対応サーバとリゾルバは切り捨てずに1つのクエリ内の回答と権威セクション内のすべてのデータを取得することが重要です。同じクエリで追加のデータを送信すると、サーバーがデータのための権威あるときに便利であり、これは、ラウンドトリップが減少します。
DNSSEC OK[OK] specifies how a client can, using EDNS0, indicate that it is interested in receiving DNSSEC records. The OK bit does not eliminate the need for large answers for DNSSEC capable clients.
DNSSEC OK [OK]は、クライアントが、EDNS0を使用して、それがDNSSECレコードを受信することに関心があることを示すことができます方法を指定します。 OKビットは、DNSSEC対応のクライアントのための大規模な答えの必要性がなくなるわけではありません。
TSIG [RFC2845] allows for the light weight authentication of DNS messages, but increases the size of the messages by at least 70 octets. DNSSEC specifies for computationally expensive message authentication SIG(0) using a standard public key signature. As only one TSIG or SIG(0) can be attached to each DNS answer the size increase of message authentication is not significant, but may still lead to a truncation.
TSIG [RFC2845]はDNSメッセージの軽量認証を可能にするが、少なくとも70個のオクテットによってメッセージのサイズを増大させます。 DNSSECは、標準的な公開鍵署名を使用して計算コストの高いメッセージ認証SIG（0）のために指定します。 TSIGまたはSIGつのみ（0）各DNSに取り付けることができるように、メッセージ認証のサイズの増加は有意ではないが、それでも切り捨てにつながる可能性が答えます。
IPv6 addresses [RFC2874] are 128 bits and can be represented in the DNS by multiple A6 records, each consisting of a domain name and a bit field. The domain name refers to an address prefix that may require additional A6 RRs to be included in the answer. Answers where the queried name has multiple A6 addresses may overflow a 512- octet UDP packet size.
IPv6アドレス[RFC2874]は128ビットであり、各ドメイン名とビットフィールドからなる、複数のA6レコードによって、DNS内に表すことができます。ドメイン名は、解答に含まれる追加のA6のRRを必要とするかもしれないアドレスプレフィックスを指します。照会名が複数のA6アドレスを持っている回答は512-オクテットUDPパケットサイズをオーバーフローする可能性があります。
The current number of root servers is limited to 13 as that is the maximum number of name servers and their address records that fit in one 512-octet answer for a SOA record. If root servers start advertising A6 or KEY records then the answer for the root NS records will not fit in a single 512-octet DNS message, resulting in a large number of TCP query connections to the root servers. Even if all client resolver query their local name server for information, there are millions of these servers. Each name server must periodically update its information about the high level servers.
それは、ネームサーバとSOAレコードの1 512オクテットの答えに収まるそのアドレスレコードの最大数であるとして、ルートサーバの現在の数は13に制限されています。ルートサーバは、広告A6またはKEYレコードを開始した場合、ルートのNSレコードのための答えは、ルートサーバーへのTCPクエリ多数の接続で、その結果、単一の512オクテットのDNSメッセージに適合しません。すべてのクライアントリゾルバは情報のための彼らのローカルネームサーバに問い合わせをしても、これらのサーバーの何百万があります。各ネームサーバは、定期的にハイレベルのサーバについて、その情報を更新する必要があります。
For redundancy, latency and load balancing reasons, large numbers of DNS servers are required for some zones. Since the root zone is used by the entire net, it is important to have as many servers as possible. Large TLDs (and many high-visibility SLDs) often have enough servers that either A6 or KEY records would cause the NS response to overflow the 512 byte limit. Note that these zones with large numbers of servers are often exactly those zones that are critical to network operation and that already sustain fairly high loads.
冗長性、レイテンシーと負荷分散の理由から、DNSサーバの多くは、いくつかのゾーンに必要とされます。ルートゾーンは、ネット全体で使用されているので、可能な限り多くのサーバを有することが重要です。大型のTLD（および多くの高可視性のSLD）は、多くの場合、A6またはKEYのいずれかのレコードはNS応答が512バイトの制限をオーバーフローさせるような十分な数のサーバーを持っています。多数のサーバーを持つこれらのゾーンは、多くの場合、ネットワークの動作にとって重要であり、それはすでにかなり高い負荷に耐える正確にそれらのゾーンであることに注意してください。
Given all these factors, it is essential that any implementation that supports DNSSEC and or A6 be able to use larger DNS messages than 512 octets.
これらすべての要因を考えると、DNSSECとか、A6をサポートする任意の実装は512オクテットより大きなDNSメッセージを使用できるようにすることが不可欠です。
The original 512 restriction was put in place to reduce the probability of fragmentation of DNS responses. A fragmented UDP message that suffers a loss of one of the fragments renders the answer useless and the query must be retried. A TCP connection requires a larger number of round trips for establishment, data transfer and tear down, but only the lost data segments are retransmitted.
オリジナルの512制限は、DNS応答の断片化の確率を減らすための場所に置かれました。断片の一つの損失を被る断片化UDPメッセージは役に立たない答えをレンダリングし、クエリを再試行する必要があります。 TCP接続が確立、データ転送のためのラウンドトリップの数を多く必要とし、取り壊すが、唯一の失われたデータセグメントが再送されます。
In the early days a number of IP implementations did not handle fragmentation well, but all modern operating systems have overcome that issue thus sending fragmented messages is fine from that standpoint. The open issue is the effect of losses on fragmented messages. If connection has high loss ratio only TCP will allow reliable transfer of DNS data, most links have low loss ratios thus sending fragmented UDP packet in one round trip is better than establishing a TCP connection to transfer a few thousand octets.
初期の頃はIPの実装の数が十分に断片化を処理しませんでしたが、すべての最近のオペレーティングシステムは、このように断片化されたメッセージを送信することの問題は、その観点から大丈夫です克服しています。未解決の問題は、断片化されたメッセージの損失の影響です。接続は、高損失率を持っている場合のみ、TCPは、DNSデータの信頼性の転送が可能になり、ほとんどのリンクは、このように1回のラウンドトリップで断片化されたUDPパケットを送信する低損失率を持っている数千のオクテットを転送するためにTCP接続を確立するよりも優れています。
EDNS0 [RFC2671] allows clients to declare the maximum size of UDP message they are willing to handle. Thus, if the expected answer is between 512 octets and the maximum size that the client can accept, the additional overhead of a TCP connection can be avoided.
EDNS0 [RFC2671]は、彼らが扱うことを喜んでいるクライアントがUDPメッセージの最大サイズを宣言することができます。予想答えは512オクテットとクライアントが受け入れることができる最大サイズの間であればこのように、TCPコネクションの追加のオーバーヘッドを回避することができます。
This document updates RFC 2535 and RFC 2874, by adding new requirements.
新しい要件を追加することによって、このドキュメントの更新RFC 2535およびRFC 2874、。
All RFC 2535 compliant servers and resolvers MUST support EDNS0 and advertise message size of at least 1220 octets, but SHOULD advertise message size of 4000. This value might be too low to get full answers for high level servers and successor of this document may require a larger value.
すべてのRFC 2535に準拠し、サーバとリゾルバはEDNS0をサポートし、少なくとも1220オクテットのメッセージサイズを宣伝しますが、この値が必要になることがあり、この文書のハイレベルのサーバや後継者のための完全な答えを得るには低すぎるかもしれない4000のメッセージサイズを宣伝すべきであるしなければなりません大きい方の値。
All RFC 2874 compliant servers and resolver MUST support EDNS0 and advertise message size of at least 1024 octets, but SHOULD advertise message size of 2048. The IPv6 datagrams should be 1024 octets, unless the MTU of the path is known. (Note that this is smaller than the minimum IPv6 MTU to allow for some extension headers and/or encapsulation without exceeding the minimum MTU.)
すべてのRFC 2874に準拠し、サーバとリゾルバはEDNS0をサポートし、少なくとも1024オクテットのメッセージサイズを宣伝しますが、パスのMTUが知られていない限り2048ザ・IPv6データグラムのメッセージサイズは、1024個のオクテットでなければなりません広告を掲載すべきであるしなければなりません。 （これは最小のMTUを超えることなく、いくつかの拡張ヘッダおよび/またはカプセル化を可能にするために最小のIPv6 MTUよりも小さくなっていることに注意してください。）
All RFC 2535 and RFC 2874 compliant entities MUST be able to handle fragmented IPv4 and IPv6 UDP packets.
すべてのRFC 2535およびRFC 2874に準拠したエンティティは、断片化されたIPv4とIPv6のUDPパケットを処理できなければなりません。
All hosts supporting both RFC 2535 and RFC 2874 MUST use the larger required value in EDNS0 advertisements.
RFC 2535及びRFC 2874の両方をサポートしているすべてのホストがEDNS0広告に大きい必要な値を使用しなければなりません。
Harald Alvestrand, Rob Austein, Randy Bush, David Conrad, Andreas Gustafsson, Jun-ichiro itojun Hagino, Bob Halley, Edward Lewis Michael Patton and Kazu Yamamoto were instrumental in motivating and shaping this document.
ハラルドAlvestrand、ロブAusteinと、ランディブッシュ、デビッド・コンラッド、アンドレアス・グスタフソン、Jun-ichiro itojun Haginoは、ボブ・ハレー、エドワード・ルイスマイケル・パットンとカズ山本はやる気とこの文書を整形することに尽力しました。
There are no additional security considerations other than those in RFC 2671.
RFC 2671のもの以外の追加のセキュリティの考慮事項はありません。
None
無し
[RFC1034] Mockapetris, P., "Domain Names - Concepts and Facilities", STD 13, RFC 1034, November 1987.
[RFC1034] Mockapetris、P.、 "ドメイン名 - 概念および機能"、STD 13、RFC 1034、1987年11月。
[RFC1035] Mockapetris, P., "Domain Names - Implementation and Specification", STD 13, RFC 1035, November 1987.
[RFC1035] Mockapetris、P.、 "ドメイン名 - 実装と仕様"、STD 13、RFC 1035、1987年11月。
[RFC2535] Eastlake, D. "Domain Name System Security Extensions", RFC 2535, March 1999.
[RFC2535]イーストレイク、D. "ドメインネームシステムのセキュリティ拡張機能"、RFC 2535、1999年3月。
[RFC2671] Vixie, P., "Extension Mechanisms for DNS (EDNS0)", RFC 2671, August 1999.
[RFC2671]いるVixie、P.、 "DNS用拡張メカニズム（EDNS0）"、RFC 2671、1999年8月。
[RFC2845] Vixie, P., Gudmundsson, O., Eastlake, D. and B. Wellington, "Secret Key Transaction Authentication for DNS (TSIG)", RFC 2845, May 2000.
[RFC2845]いるVixie、P.、グドムンソン、O.、イーストレイク、D.とB.ウェリントン、 "DNSのための秘密鍵トランザクション認証（TSIG）"、RFC 2845、2000年5月。
[RFC2874] Crawford, M. and C. Huitema, "DNS Extensions to Support IPv6 Address Aggregation and Renumbering", RFC 2874, July 2000.
[RFC2874]クロフォード、M.とC.のHuitemaは、RFC 2874、2000年7月 "DNSの拡張機能は、IPv6アドレスの集約とリナンバリングを支援します"。
[RFC3225] Conrad, D., "Indicating Resolver Support of DNSSEC", RFC 3225, December 2001.
[RFC3225]コンラッド、D.、 "DNSSECのレゾルバサポートを示す"、RFC 3225、2001年12月。
Olafur Gudmundsson 3826 Legation Street, NW Washington, DC 20015 USA
オラフルグドムンソン3826公使館ストリート、NWワシントンD.C. 20015 USA
EMail: ogud@ogud.com
メールアドレス：ogud@ogud.com
Copyright (C) The Internet Society (2001). All Rights Reserved.
著作権（C）インターネット協会（2001）。全著作権所有。
This document and translations of it may be copied and furnished to others, and derivative works that comment on or otherwise explain it or assist in its implementation may be prepared, copied, published and distributed, in whole or in part, without restriction of any kind, provided that the above copyright notice and this paragraph are included on all such copies and derivative works. However, this document itself may not be modified in any way, such as by removing the copyright notice or references to the Internet Society or other Internet organizations, except as needed for the purpose of developing Internet standards in which case the procedures for copyrights defined in the Internet Standards process must be followed, or as required to translate it into languages other than English.
この文書とその翻訳は、コピーして他の人に提供し、それ以外についてはコメントまたは派生物は、いかなる種類の制限もなく、全体的にまたは部分的に、準備コピーし、公表して配布することができることを説明したり、その実装を支援することができます、上記の著作権表示とこの段落は、すべてのそのようなコピーや派生物に含まれていることを条件とします。しかし、この文書自体は著作権のための手順はで定義されている場合には、インターネット標準を開発するために必要なものを除き、インターネットソサエティもしくは他のインターネット関連団体に著作権情報や参照を取り除くなど、どのような方法で変更されないかもしれませんインターネット標準化プロセスが続く、または英語以外の言語に翻訳するために、必要に応じなければなりません。
The limited permissions granted above are perpetual and will not be revoked by the Internet Society or its successors or assigns.
上記の制限は永久で、インターネット学会やその後継者や譲渡者によって取り消されることはありません。
This document and the information contained herein is provided on an "AS IS" basis and THE INTERNET SOCIETY AND THE INTERNET ENGINEERING TASK FORCE DISCLAIMS ALL WARRANTIES, EXPRESS OR IMPLIED, INCLUDING BUT NOT LIMITED TO ANY WARRANTY THAT THE USE OF THE INFORMATION HEREIN WILL NOT INFRINGE ANY RIGHTS OR ANY IMPLIED WARRANTIES OF MERCHANTABILITY OR FITNESS FOR A PARTICULAR PURPOSE.
この文書とここに含まれている情報は、基礎とインターネットソサエティおよびインターネットエンジニアリングタスクフォースはすべての保証を否認し、明示または黙示、その情報の利用がない任意の保証を含むがこれらに限定されない「として、」上に設けられています特定の目的への権利または商品性または適合性の黙示の保証を侵害します。
Acknowledgement
謝辞
Funding for the RFC Editor function is currently provided by the Internet Society.
RFC Editor機能のための基金は現在、インターネット協会によって提供されます。