<html dir="ltr"><head></head><body style="text-align: left; direction: ltr; word-wrap: break-word; -webkit-nbsp-mode: space; line-break: after-white-space;"><div>Hi list,</div><div>I'm writing this email to ask if the changes I detected in bind behaviour are as expected or I'm facing some unexpected behaviour.</div><div><br></div><div>I searched for this, without success, so now I'm posting this issue I found between bind versions, 9.14.5 and 9.16.3.</div><div><br></div><div>I have an old testing machine running bind 9.14.5 with RPZ zones. The first one (rpz1) is working as an whitelist and the second one (rpz2) is automatic populated, as you can check in config bellow:</div><div><br></div><div>response-policy {</div><div>                zone "rpz1";</div><div>                zone "rpz2";</div><div>        } qname-wait-recurse no break-dnssec yes;</div><div><br></div><div>For example, in rpz1 zone I have something like this:</div><div>test.com              IN CNAME        rpz-passthru.</div><div>*.test.com            IN CNAME        rpz-passthru.</div><div><br></div><div>And, for example, in rpz2 zone, which are automatic populated, at same point may have:</div><div>tst.test.com IN CNAME        secure.test.</div><div>*.tst.test.com       IN CNAME        secure.test.</div><div><br></div><div>when this config is running on the machine with bind 9.14.5, if you query it for tst.test.com, it simply passthru it because it match on the rpz1 zone (*.test.com), acting as whitelist as expected. </div><div>If I run the same query on a new machine with bind 9.16.3, running the same config, it will rewrite it to secure.test, matching it in the rpz2 zone.</div><div><br></div><div>Is this second result (on the last version) the expected behaviour?  What version are deviating from the expected one?</div><div><br></div><div>Best regards,</div><div>Paulo</div></body></html>