AA flag

O bit Authoritative Answer que um servidor DNS liga quando responde de uma zona que serve, impresso como aa pelo dig.

A ausência dele é o que o nslookup mostra como Non-authoritative answer. A linha assusta sem motivo: um resolver que responde do cache, ou que busca a resposta por você, deixa o bit desligado, e é assim que uma consulta recursiva comum deve funcionar.

A RFC 1035 diz que o AA vale em respostas e significa que o servidor que responde é autoridade para o nome da seção de pergunta. Quando a resposta segue um alias, ele cobre só o primeiro nome: a RFC 2181 avisa que os outros registros podem ter vindo do cache do servidor. Um bit desligado diz apenas que o servidor não é autoridade, então um acerto de cache, uma resposta recursiva recém-buscada e um referral parecem iguais.

Para ver uma resposta autoritativa, pergunte direto a um dos servidores de nomes da zona com a recursão desligada, por exemplo dig @ns.example.com example.com +norecurse, e procure aa na linha de flags. O TTL é então o valor constante da zona, enquanto uma cópia em cache diminui a cada repetição.

O AA registra de onde veio o dado, não se ele está certo. A RFC 9499 conta um servidor que responde sem o bit de autoridade para uma zona delegada a ele entre os defeitos chamados de lame delegation. E a RFC 6604 observa que o DNSSEC não protege o bit AA, então só a validação autentica os dados.

Também conhecido como: aa bit, authoritative answer, authoritative answer bit, non-authoritative answer

Fontes

← Todos os verbetes do glossário