APNIC scopre che due nameserver riducono le query DNS ripetute

Una misurazione su larga scala pubblicata da APNIC il 15 settembre 2026 ha rilevato che servire una zona DNS da due nameserver autoritativi invece che da uno riduce il numero medio di query ripetute da 3,43 a 2,57 per test. Lo stesso insieme di dati mostra che la quota di test completati con una sola query per ogni tipo di query sale dal 58% al 71%. In parole semplici, aggiungere un secondo nameserver autoritativo sembra rendere i resolver ricorsivi, i server che cercano i nomi di dominio per conto degli utenti finali, molto meno propensi a ripetere la stessa domanda più e più volte. Il Domain Name System, o DNS, è la rubrica di indirizzi di internet che trasforma i nomi dei siti web in indirizzi IP.

Il risultato è il seguito di uno studio precedente di APNIC sul numero sorprendentemente elevato di query ripetute nel DNS, intitolato 'What part of ‘No!’ is so hard for the DNS to understand?'. In quel lavoro precedente, i ricercatori avevano incaricato molti milioni di utenti di risolvere un nome DNS univoco, evitando deliberatamente la cache convenzionale. La misurazione di follow-up si è svolta dal 5 all'11 agosto 2026. L'allestimento di misurazione di APNIC divide internet in sei zone: Nord America, Sud America, Europa e Africa, India, Asia e Cina. Ogni zona usa il proprio namespace e inizialmente ciascuna era servita da un solo nameserver autoritativo configurato come server dual-stack, cioè in grado di rispondere sia su IPv4 sia su IPv6, le due versioni dell'indirizzamento internet.

La Tabella 1 del rapporto riassume cosa è accaduto con un solo nameserver autoritativo. Per i tipi di risposta che forniscono una risposta definitiva, incluse le risposte positive, NXDOMAIN (il nome non esiste) e NOERROR/NODATA (il nome esiste ma non c'è alcun record del tipo richiesto), il profilo di ripetizione è simile. In media ci sono quattro query per test; tra il 55% e il 60% dei test termina con una sola query, e quando si verifica la ripetizione il numero medio di ripetizioni è tra quattro e sei. Le cifre esatte sono: controllo 254.894.985 test e 875.316.423 query, una media di 3,43 per test; NXDOMAIN 115.750.503 test e 509.410.787 query, media 4,40; NODATA 115.571.398 test e 454.213.932 query, media 3,93. Ma quando non arriva alcuna risposta definitiva, i resolver DNS scivolano in una modalità ripetitiva. SERVFAIL (errore del server) ha prodotto 138.643.924 test e ben 7.171.673.166 query, ovvero 51,73 per test. REFUSED ha prodotto 115.415.259 test e 1.324.355.211 query, ovvero 11,47 per test. NO RESPONSE ha prodotto 116.050.253 test e 9.685.775.212 query, ovvero 83,46 per test. I conteggi medi delle ripetizioni erano altrettanto sorprendenti: 51,29 per SERVFAIL, 16,32 per REFUSED e 83,38 per nessuna risposta.

Per verificare se il numero di nameserver autoritativi cambia questo comportamento, APNIC ha ripetuto solo la misurazione di controllo con due nameserver autoritativi dual-stack. Con un nameserver, il controllo completo ha visto 254.894.985 test, 147.233.117 test con query singola, 875.316.423 query totali, una media di 3,43 query per test, 408.891.797 ripetizioni e una media di 3,80 ripetizioni. Con due nameserver, il test ha visto 150.221.951 test, 106.376.529 test con query singola, 385.725.364 query totali, una media di 2,57 query per test, 112.191.597 ripetizioni e una media di 2,56 ripetizioni. Il tasso di completamento con query singola è salito dal 58% al 71%. L'aggiunta di un secondo nome di nameserver e di due indirizzi IP aggiuntivi, uno IPv4 e uno IPv6, ha ridotto significativamente le query ripetute, un esito che l'autore Geoff Huston descrive come del tutto inatteso. Una ripetizione è definita come una query con lo stesso nome di query e lo stesso tipo di query. Normalmente ci si aspetterebbe che un resolver ricorsivo ossessivo interroghi tutti i nameserver autoritativi con la stessa domanda per verificare la coerenza, aumentando le ripetizioni, ma è accaduto il contrario.

Il rapporto esamina anche quando avvengono le ripetizioni. Nel primo secondo di risoluzione, poco più dell'85% delle query duplicate arriva quando c'è un solo nameserver, ma solo il 75% quando ce ne sono due. Con due nameserver, il modello di ripetizione mostra un lieve backoff esponenziale: piccoli picchi a 0,75 secondi, 1,5 secondi e 3 secondi. Entro cinque secondi, il 90% di tutte le query ripetute è stato osservato in entrambi gli esperimenti. Uno sguardo più ravvicinato mostra che con un nameserver, il 17% di tutte le query ripetute viene osservato entro 10 millisecondi dalla query iniziale, una duplicazione a raffica. Con due nameserver questo scende al 12%. La tempistica con un solo server mostra picchi locali a 100ms, 310ms e 800ms, mentre la tempistica con due server mostra picchi a 50ms, 100ms, 310ms, 370ms, 750ms e 800ms. Un millisecondo è un millesimo di secondo.

Per vedere se questo è causato da farm di resolver o da resolver individuali, la Figura 3 normalizza i due insiemi di dati e confronta la ripetizione delle query per indirizzo di resolver. La differenza principale sta nel periodo da 10ms a 70ms dopo la query iniziale, dove il caso con un solo server mostra un volume di ripetizioni significativamente più alto, in particolare da 10ms a 40ms. Quell'intervallo è inferiore ai valori di timeout User Datagram Protocol (UDP) della maggior parte dei resolver individuali, quindi l'autore si chiede perché un resolver individuale ripeterebbe una query così rapidamente. Una spiegazione probabile sono i farm di resolver. I grandi Internet Service Provider consumer spesso non riescono a gestire il volume di query su un'unica piattaforma, quindi collocano un dispatcher front-end davanti a molti resolver ricorsivi, come si vede con DNSdist di PowerDNS. Una configurazione comune usa il front-end con un indirizzo IP pubblico per parlare con internet ma con indirizzi IP privati per parlare con i singoli resolver, così l'intero farm appare come un unico IP pubblico. In quel caso, la ripetizione osservata potrebbe essere il comportamento dei sistemi front-end, non delle implementazioni dei resolver ricorsivi. Quando c'è un solo nameserver autoritativo, un front-end DNS potrebbe duplicare le query in arrivo su più istanze di resolver nel tentativo di migliorare velocità e resilienza. Huston osserva che questo è speculativo perché il DNS gestisce le singole query in modo opaco e non esiste ancora una spiegazione definitiva.

Il risultato inatteso indica un valore pratico nel consiglio operativo di lunga data di usare un minimo di due nameserver per qualsiasi zona nel DNS odierno. Sembra mantenere felici i resolver ricorsivi. Per i proprietari di siti è un promemoria a verificare che il proprio dominio sia effettivamente servito da almeno due nameserver autoritativi, idealmente su infrastrutture separate. Per gli utenti quotidiani, lo studio mostra che il DNS non è una singola ricerca ma spesso una raffica di tentativi nascosti, soprattutto quando i server falliscono o restano in silenzio. Sebbene questo esperimento riguardi i server autoritativi e non i resolver degli utenti finali, i lettori che gestiscono domini possono ridurre le tempeste di tentativi seguendo lo stesso consiglio, e gli utenti finali possono mantenere private le proprie ricerche con un resolver DNS cifrato attento alla privacy come AEU DNS, che invia le query tramite DoH (DNS over HTTPS), DoT (DNS over TLS) o DoQ (DNS over QUIC) e non conserva log.