TTL, кеширование и распространение DNS

Вы обновили DNS-запись, и коллега видит изменение. Вы — нет. Через час изменение наконец появляется у вас. Менеджер называет это «распространением DNS» и говорит подождать 24–48 часов. Эта трактовка технически неверна и операционно дорогостояща. Понимание того, что такое TTL на самом деле — разрешение, а не команда — меняет подход к управлению DNS-записями в продакшене.

Что означает TTL

Каждая DNS-запись несёт TTL (Time To Live) — число в секундах. Когда резолвер кеширует ответ, он отсчитывает от TTL до нуля. При достижении нуля кешированная запись удаляется и выполняется повторный запрос. Авторитативный сервер не проталкивает обновления — кеши истекают и сами запрашивают новое значение по собственному расписанию.

Отсюда два операционных следствия:

1. Нельзя принудительно удалить закешированное значение. Как только TTL опубликован и закеширован, остаётся только ждать, пока он истечёт повсеместно.
2. «Распространение DNS» — вводящий в заблуждение термин. Ничего не распространяется. Просто распределённые кеши истекают один за другим. Никакой волны нет, никакого единого таймера нет. Кеш, заполненный за 1 минуту до вашего изменения, будет хранить старое значение ещё (TTL − 1 минута).

Высокий TTL vs низкий TTL

SOP для запланированной миграции

Стандартный операционный шаблон для запланированного изменения DNS:

1. За неделю до: Снизить TTL до 60 секунд. Дождаться, пока старый высокий TTL истечёт повсеместно (максимальное ожидание = старый TTL).
2. День изменения: Обновить запись. Плохой результат достижим немедленно — максимальный возраст кеша теперь 60 с.
3. После стабилизации: Поднять TTL обратно до 3600 с или выше.

Пропуск шага 1 означает, что старые кеши могут отдавать устаревшие данные в течение старого TTL (например, 24 часов) после вашего изменения.

Негативное кеширование (RFC 2308)

Кеши DNS хранят не только положительные ответы. Они также кешируют отрицательные:

• NXDOMAIN (имя не существует) — кешируется на min(SOA.MINIMUM, SOA.TTL), обычно 1–3 часа.
• NODATA (имя существует, но записи нужного типа нет) — то же время хранения.
• SERVFAIL — кешируется кратко согласно RFC 9520: от 30 секунд до 5 минут. Достаточно коротко, чтобы не усугублять сбой, достаточно долго, чтобы предотвратить плотный цикл повторных попыток.

Негативное кеширование необходимо для производительности: без него каждый запрос к несуществующему поддомену каждый раз попадал бы на авторитативный сервер. Без кеширования SERVFAIL ранние шторма опечаток и неправильно настроенные клиенты могли бы перегрузить авторитативные серверы.

Запись SOA и авторитет зоны

В каждой зоне есть ровно одна запись SOA (Start of Authority) в вершине зоны. Её поля управляют репликацией и негативным кешированием:

• SERIAL: инкрементируется при каждом изменении зоны. Вторичные серверы сравнивают свой serial с serial первичного; если меньше — вытягивают обновление.
• REFRESH: как часто вторичные опрашивают первичный без NOTIFY (обычно 1–24 часа).
• RETRY: интервал опроса при сбое REFRESH.
• EXPIRE: как долго вторичный сервер отдаёт устаревшие данные при недоступности первичного (часто 1 неделя).
• MINIMUM: TTL негативного кеша (RFC 2308). Фактический TTL негативного кеша равен min(SOA.MINIMUM, SOA.TTL).

Частая операционная ошибка: уменьшение SERIAL. Принято формат YYYYMMDDNN (2026051301 = 2026-05-13, изменение №01). Ручные правки, уменьшающие SERIAL, молча ломают репликацию — вторичные серверы пропускают «устаревшую» зону.

DNS-кеш браузера

Браузеры ведут собственный DNS-кеш, отдельный от stub-резолвера ОС и вышестоящего рекурсивного резолвера. Chrome кеширует DNS-записи примерно 1 минуту вне зависимости от фактического TTL записи — намеренно короткий срок, чтобы не запоминать потенциально вредоносные ответы, и достаточно долгий, чтобы не резолвить заново каждую ссылку на странице. Firefox придерживается аналогичной политики.

Очистка DNS-кеша на уровне ОС (sudo systemd-resolve --flush-caches на Linux, sudo killall -HUP mDNSResponder на macOS) не очищает кеш браузера. Для полного сброса резолюции: перезапустить браузер или открыть chrome://net-internals/#dns и очистить кеш хостов.

Браузеры также предварительно прогревают DNS через <link rel="dns-prefetch" href="//cdn.example.com"> — резолвируют имена до того, как пользователь кликнет на ссылку, скрывая тем самым задержку lookup.