<!DOCTYPE html>

<html>

  <head>

    <meta http-equiv="Content-Type" content="text/html; charset=UTF-8">

  </head>

  <body>

    <div class="moz-cite-prefix">On 2/9/24 12:39, Mark Andrews wrote:<br>

    </div>

    <blockquote type="cite"

      cite="mid:B4BB0A3C-A595-43B5-8202-47F30040CE70@isc.org">

      <pre class="moz-quote-pre" wrap="">Do the analysis where the resolver is under attack or the auth server with the best rtt is stale.

</pre>

    </blockquote>

    <p>I admit here we most often work with internal only forwarders,

      which are not accessible from outer internet. So those won't be

      under attack, at least directed from uncontrolled outside. For

      internal organization resolver it is somehow easier to find source

      of attack and make them stopped. Something not possible on public

      internet. And of course, if auth server becomes unreachable, it is

      up to resolver to try alternative servers known. If they do not

      respond as well, then yes, stale cache is the only thing

      protecting us from serving SERVFAILs.</p>

    <p>But I am not sure how that contradicts what I have written

      before. Can you elaborate a bit more, please?<br>

    </p>

    <blockquote type="cite"

      cite="mid:B4BB0A3C-A595-43B5-8202-47F30040CE70@isc.org"><span

      style="white-space: pre-wrap">

</span></blockquote>

    <pre class="moz-signature" cols="72">-- 

Petr Menšík

Software Engineer, RHEL

Red Hat, <a class="moz-txt-link-freetext" href="https://www.redhat.com/">https://www.redhat.com/</a>

PGP: DFCF908DB7C87E8E529925BC4931CA5B6C9FC5CB</pre>

  </body>

</html>