Выбор ответа Senior DNS, TLS и прокси обновлено
Новая запись не видна
Вопрос
Вы создали запись new.example.ru 10 минут назад, но сервис в кластере всё ещё получает NXDOMAIN, хотя dig @<авторитативный> отвечает правильно. Почему?
Попробуйте сами
Выберите вариант, и откроется разбор.
Показать ответ и разбор
Коротко
Правильный ответ: Резолвер закешировал NXDOMAIN, полученный до создания записи. Отрицательные ответы кешируются (RFC 2308) на время, указанное в SOA (минимум из MINIMUM и TTL самой SOA).
Варианты ответа
- Авторитативный сервер ещё не получил запись от первичного по AXFR
- Резолвер закешировал NXDOMAIN, полученный до создания записиправильный ответ
- NXDOMAIN означает, что домен не оплачен и делегирование снято
- Kubernetes не резолвит внешние имена без явного ExternalName-сервиса
Разбор
Отрицательные ответы кешируются (RFC 2308) на время, указанное в SOA (минимум из MINIMUM и TTL самой SOA). Если имя спросили до создания, резолвер помнит «нет такого имени». Авторитативный уже отвечает правильно, это проверено. Оплата домена тут ни при чём, внешние имена в кластере резолвятся через CoreDNS и upstream-резолвер.
Ответьте сами, а не прочитайте
В тренажёре вопрос попадёт в повторения и вернётся, когда начнёт забываться. Плюс билеты с зачётом: 20 вопросов, не больше 2 ошибок.