Je winkelwagen is leeg
Producten die je toevoegt, verschijnen hier.
Negative caching betekent dat een DNS-resolver ook een "bestaat niet"-antwoord een tijd onthoudt. Vraagt iemand opnieuw naar dezelfde onbekende naam, dan antwoordt de resolver uit zijn cache in plaats van de hele zoektocht nog eens te doen.
Het gaat om twee soorten negatieve antwoorden. Bij NXDOMAIN bestaat de naam helemaal niet, terwijl bij NODATA de naam wel bestaat maar geen record van het gevraagde type heeft, bijvoorbeeld geen AAAA-record. De autoritatieve nameserver stuurt in beide gevallen het SOA-record van de zone mee. De bewaartijd is de laagste van twee waarden: de TTL van dat SOA-record of het MINIMUM-veld erin.
Bij .nl staat die waarde op 600 seconden, dus een resolver onthoudt tien minuten dat een .nl-naam niet bestaat. RFC 2308 noemt een tot drie uur een verstandige bovengrens voor resolvers en waarschuwt dat meer dan een dag problemen geeft. Volgens diezelfde RFC scheelt negative caching een flink deel van alle DNS-verkeer, omdat dezelfde onbekende namen steeds opnieuw worden opgevraagd.
Je merkt negative caching vooral bij een nieuw subdomein. Open je shop.jouwdomein.nl voordat het record bestaat, dan onthoudt je resolver dat de naam niet bestaat. Voeg je daarna in Mijn KeurigOnline (Mijn domeinen, Beheren, tabblad DNS Beheren) het A-record toe, dan blijft die resolver nog "bestaat niet" antwoorden tot de bewaartijd voorbij is. Maak een record dus aan voordat je het test, of controleer het met een DNS-checker zoals dnsscan.nl.
Geschiedenis
Al in 1987 beschreef RFC 1034 negative caching als optionele functie. In maart 1998 maakte Mark Andrews er met RFC 2308 een vast onderdeel van elke resolver van, en sindsdien bepaalt het MINIMUM-veld van het SOA-record hoe lang een negatief antwoord geldig blijft.
Belangrijke mijlpalen:
- 1987: RFC 1034 noemt negative caching als optie (sectie 4.3.4)
- 1998: RFC 2308 maakt negative caching verplicht en definieert NXDOMAIN en NODATA
- 2016: RFC 8020: een NXDOMAIN geldt ook voor alle namen onder de niet-bestaande naam
- 2017: RFC 8198 laat resolvers met DNSSEC-gegevens zelf afleiden dat een naam niet bestaat
Bronnen
- IETF (1998) - RFC 2308: Negative Caching of DNS Queries (DNS NCACHE)
- IETF (2016) - RFC 8020: NXDOMAIN: There Really Is Nothing Underneath
- IETF (2017) - RFC 8198: Aggressive Use of DNSSEC-Validated Cache
- IETF (2024) - RFC 9499: DNS Terminology
- KeurigOnline - Hoe beheer ik mijn DNS-records?