Kiểm thử DNS resolver cache: TTL, negative caching và serve-stale

Cần biết resolver trả dữ liệu nào trước, tại và sau khi TTL hết; khi nào nó hỏi lại authoritative; và phản ứng ra sao với NXDOMAIN, NODATA, timeout, SERVFAIL hoặc DNSSEC validation failure. “Độ trễ thấp” không đủ nếu câu trả lời sai freshness policy.

Định nghĩa trước expected answer cho từng mốc thời gian và từng RCODE. Tách yêu cầu tiêu chuẩn khỏi chính sách tùy chọn như prefetch, cache minimum/maximum TTL và serve-stale.

Lab gồm client generator, recursive resolver DUT, authoritative server điều khiển được và network emulator ở đường upstream. Capture ở client–resolver và resolver–authoritative; thu resolver cache statistics, query log, authoritative query log và resource telemetry.

Dùng zone riêng với A/AAAA/CNAME, record không tồn tại và DNSSEC nếu cần. Đồng bộ clock hoặc ghi offset; thay zone bằng quy trình có timestamp. Bypass OS/browser cache hoặc đo riêng lớp cache đó để không gán nhầm hành vi cho resolver.

Khóa resolver/version, cache size, positive/negative TTL policy, prefetch, serve-stale, failure recheck timer và DNSSEC validation. Với zone, ghi serial, TTL của RRset, SOA TTL/MINIMUM, delegation và thời điểm publish.

Traffic profile cần có QNAME popularity, QTYPE mix, client count, query rate, EDNS size và transport UDP/TCP/DoT/DoH nếu liên quan. Với mạng, thay RTT, jitter, packet loss, bandwidth và authoritative availability từng biến một.

KPI · Cách đo · Bằng chứng Cache hit ratio · Hit/(hit+miss) · Resolver counter/log Response latency · p50/p95/p99 theo trạng thái · Client histogram Upstream query rate · QPS tới authoritative · Authoritative log Freshness · Answer/TTL theo timeline · Pcap + zone history Negative-cache duration · NXDOMAIN/NODATA giữ bao lâu · Query timeline Stale window · Thời gian và điều kiện trả stale · Answer + failure log Recovery · Upstream phục hồi → dữ liệu mới · Timestamp đối chiếu

Báo RCODE và EDE nếu có; không gom timeout, SERVFAIL và NXDOMAIN. Lưu packet capture để chứng minh TTL quan sát được, nhưng nhớ rằng TTL trên wire có thể đã giảm theo tuổi cache.

Trạng thái · Kỳ vọng kiểm chứng · Rủi ro Positive TTL còn hạn · Cache hit · Query upstream thừa TTL vừa hết · Refresh đúng policy · Stampede NXDOMAIN · Negative caching đúng SOA · Giữ lỗi quá lâu NODATA · Phân biệt với NXDOMAIN · Sai semantics Timeout upstream · Stale hoặc failure theo policy · Dữ liệu cũ im lặng DNSSEC bogus · Validation failure caching · Bỏ qua validation Authoritative phục hồi · Refresh và hội tụ · Stale kéo dài

Thêm hot-name burst ở thời điểm expiry để phát hiện cache stampede. Lặp với cold cache và warm cache; hai trạng thái này không được so lẫn.

Pha functional đi qua positive, CNAME chain, NODATA và NXDOMAIN. Pha TTL thay record ở authoritative rồi query trước/sát/sau expiry. Pha load tăng client và query rate với popularity distribution đã chốt; theo dõi hit ratio, upstream amplification và CPU/memory.

Pha failure tạo timeout, packet loss, SERVFAIL và authoritative outage. Bật/tắt serve-stale trong các run riêng, sau đó phục hồi upstream để đo refresh. Pha soak theo dõi cache eviction, memory pressure và log/counter rollover.

RFC 8767 cho phép resolver dùng dữ liệu đã hết hạn để tăng khả năng phục hồi khi không refresh được. Đây là lựa chọn availability có đánh đổi freshness, không phải xác nhận dữ liệu vẫn đúng. Báo rõ stale answer được dùng trong điều kiện nào, kéo dài bao lâu và có tín hiệu EDE hay log nào cho vận hành.

Negative caching cũng cần tách NXDOMAIN/NODATA khỏi resolution failure. RFC 9520 cập nhật yêu cầu cache một số failure để giảm truy vấn lặp; triển khai và timer cụ thể vẫn phải xác minh theo resolver/version.

• [ ] Chốt zone, RRset, TTL, SOA và resolver policy.
• [ ] Xóa cache có kiểm soát; ghi trạng thái cold/warm.
• [ ] Đồng bộ clock; bật capture và log hai phía.
• [ ] Chạy positive, NODATA, NXDOMAIN và CNAME baseline.
• [ ] Thay record; query trước, tại và sau expiry.
• [ ] Tạo hot-name burst quanh expiry.
• [ ] Tiêm timeout, loss, SERVFAIL và outage riêng.
• [ ] Kiểm tra stale answer và recovery sau upstream trở lại.
• [ ] Lưu config, zone history, pcap, log và raw metrics.

Kết quả phụ thuộc resolver/version, cache policy, zone data, DNSSEC, client behavior và traffic distribution. Một cache hit ratio cao không chứng minh freshness hoặc resiliency; QPS thấp có thể do negative answer bị giữ quá lâu.

Không suy rộng kết quả UDP sang DoH/DoT hoặc hệ thống có cache nhiều tầng. Nếu dùng anycast authoritative hay nhiều resolver node, cần thêm consistency, routing và state isolation vào test plan.

• TTL: Thời gian RRset có thể được cache.
• Negative caching: Cache câu trả lời tên hoặc dữ liệu không tồn tại.
• NXDOMAIN: Tên miền được hỏi không tồn tại.
• NODATA: Tên tồn tại nhưng không có RRset được hỏi.
• Serve-stale: Trả dữ liệu hết hạn khi không thể refresh theo policy.
• Cache stampede: Nhiều truy vấn upstream đồng thời khi mục cache hết hạn.
• EDE: Extended DNS Error bổ sung ngữ cảnh lỗi.