Quelle est la différence entre une requête pour un enregistrement TXT et une requête pour un enregistrement TXT contre un serveur de noms particulier?

Amazon, afin d'être sûr à toute épreuve, exécute huit copies de son serveur de noms. Le maître semblerait être un autre serveur :

> nslookup -type=SOA amazon.com

Non-authoritative answer:
amazon.com
        serveur de noms primaire = dns-external-master.amazon.com
        adresse e-mail du responsable = root.amazon.com
        série  = 2010176184
        rafraîchissement = 180 (3 mins)
        réessayer   = 60 (1 min)
        expiration  = 3024000 (35 jours)
        TTL par défaut = 60 (1 min)

Nous pouvons donc supposer que tous les huit serveurs de noms spécifiés sont en réalité des répliques du maître spécifié comme le Début de l'Autorité.

Fonctionnellement, il y a peu de différence entre vos deux options. Parce qu'ils sont tous des répliques, il ne devrait pas y avoir de différence sur lequel des huit vous interrogez. Votre première option demande à votre relais DNS local de signaler celui des huit pour lequel il a récemment demandé un enregistrement de domainekey, ou à défaut, en choisir un de manière arbitraire et le signaler. La deuxième option demande à votre DNS local de demander la liste des serveurs de noms, et vous choisissez ensuite l'un d'entre eux vous-même pour lui demander l'enregistrement de domainekey qu'il détient. Au final, vous obtiendrez la même réponse, mais votre première option est bien plus simple à mettre en œuvre pour vous, et fait probablement un meilleur usage de la nature mise en cache des requêtes DNS.

La principale différence entre les deux sera la vitesse. Les deux méthodes accomplissent la même chose, mais la méthode 2) signifierait que pour chaque requête, vous devriez faire une requête DNS externe au serveur de noms autoritaires.

La méthode 1) permettrait à votre serveur DNS local de faire ce pour quoi il est là, par exemple demander au serveur autoritaire le résultat une fois, et puis pour chaque future demande de cette information tant que le TTL de l'enregistrement reste, renvoyer le résultat du cache local, ce qui est BEAUCOUP plus rapide.

En réalité, la différence de temps entre les deux est en millisecondes, probablement à un seul chiffre pour votre serveur DNS local, et à deux chiffres (au moins) pour le serveur autoritaire. Mais si vous recevez des centaines/de milliers de messages d'un domaine particulier par heure, ce qui n'est pas impossible avec certains grands fournisseurs (pensez à gmail.com, amazon.com, etc.), alors cette petite différence de temps peut s'accumuler en retards significatifs. Et étant donné que les enregistrements DKIM que vous récupérez changeront rarement, voire jamais, il y a peu ou pas de bénéfice à tirer de ce retard.

Les enregistrements DKIM sont généralement disponibles à travers le DNS global. Il n'est pas nécessaire d'interroger un serveur NS autoritaire. Toutes les requêtes devraient donner le même résultat (comme dans votre cas).