Как понимать DNS TTL: почему изменения появляются не сразу

У каждой DNS-записи есть TTL — время жизни (time to live), выраженное в секундах. Это указание авторитативного сервера имён домена каждому резолверу, получающему запись: «ты можешь использовать этот ответ повторно столько времени, прежде чем спросишь снова». TTL в 300 секунд означает, что резолвер, только что запросивший домен, не станет спрашивать снова в течение пяти минут, даже если запись за это время изменится.

Компромисс, который уравновешивает TTL

Больший TTL означает меньше DNS-запросов, более быстрые запросы в среднем (потому что больше обращений обслуживается из кеша) и меньшую нагрузку на авторитативные серверы имён. Меньший TTL означает, что изменение записи распространяется быстрее, но ценой более частых запросов. Универсально правильного значения не существует: оно зависит от того, как часто ожидается изменение записи и насколько ситуация терпима к устаревшим ответам.

Что на самом деле происходит при изменении

Обновление DNS-записи не рассылает изменение каждому резолверу в интернете. Оно лишь меняет то, что авторитативный сервер имён скажет при следующем запросе. Каждый резолвер, уже закешировавший старый ответ, продолжает его отдавать, пока не истечёт TTL его кешированной копии, — поэтому один и тот же домен может ненадолго разрешаться в разные адреса в зависимости от того, какой резолвер и какой кеш отвечает.

• Распространённый практический приём перед плановой миграцией — понизить TTL за день-два, чтобы итоговое переключение распространилось быстрее.
• После миграции TTL обычно возвращают к обычному значению.
• Запись, которая давно не менялась и имеет длинный TTL, при изменении всё равно может полностью исчезнуть из кешей по всему миру лишь по истечении этого окна TTL.

Как выбрать TTL на практике

Отрицательные ответы тоже кешируются, и об этом легко забыть. Когда домена не существует, сам ответ NXDOMAIN кешируется, и им управляет отдельное значение (минимальный TTL записи SOA, а не TTL записи, которой там изначально не было). Только что зарегистрированный домен иногда может какое-то время не разрешаться просто потому, что резолвер уже закешировал его NXDOMAIN с момента до завершения регистрации.

TTL — это просьба, а не гарантия

Стоит знать, что TTL носит рекомендательный характер, и никакой внешний орган его не обеспечивает. Резолвер технически вправе кешировать ответ дольше указанного TTL (некоторые так делают под высокой нагрузкой, чтобы сократить число запросов) или вытеснить его раньше (резолвер с нехваткой памяти может досрочно сбрасывать записи кеша). В подавляющем большинстве случаев хорошо управляемые публичные и провайдерские резолверы соблюдают TTL близко и предсказуемо, но именно поэтому оценка распространения по TTL — это надёжное практическое правило, а не жёсткая договорная гарантия. Если изменение так и не проявилось заметно после старого окна TTL, необычно агрессивный промежуточный кеш — одно из менее частых, но реальных объяснений, которое стоит иметь в виду.

Если вы проверяете, что изменение DNS вступило в силу, один запрос говорит лишь о том, что сейчас закешировано в одном резолвере. Повторять запрос с интервалом в несколько минут — или запланировать периодическую проверку — гораздо надёжнее, чтобы убедиться в фактическом распространении изменения, а не один раз поймать устаревший закешированный ответ и посчитать его окончательным.