Como funciona
O caminho de uma consulta pela stack — DNSdist na borda, Recursor como motor, Auth para zonas próprias e o painel fora do caminho.
Entender por onde a consulta passa explica quase todas as decisões de configuração do produto: por que a ACL fica no Recursor, por que os protocolos seguros ficam no DNSdist, e por que o painel pode reiniciar sem derrubar o serviço.
O caminho de uma consulta
O painel está fora do caminho
Repare nas linhas pontilhadas: o painel administra os três serviços, mas nenhuma consulta de assinante passa por ele. É por isso que reiniciar o painel não interrompe a resolução.
O papel de cada componente
| Componente | Papel | O que você configura nele |
|---|---|---|
| DNSdist | A porta de entrada. Atende na :53 e nos protocolos criptografados, aplica regras de borda e distribui a consulta | Protocolos seguros, limite de consultas |
| PowerDNS Recursor | O motor de resolução. Busca a resposta na internet, guarda o cache e aplica as listas de bloqueio | ACL de recursão, RPZ, ajuste fino |
| PowerDNS Auth | Responde pelas zonas do próprio provedor (papel autoritativo). Opcional | Zonas |
| MariaDB | Banco das zonas autoritativas | — |
| Painel Made4DNS | Administração, métricas e diagnóstico | Todo o resto |
Recursivo e autoritativo são papéis diferentes
Esta é a distinção que mais gera confusão na implantação:
Papel recursivo
Resolve a navegação dos assinantes. Precisa estar dentro da rede do provedor, perto do assinante. IPv4 privado com SRCNAT atende — não precisa de IP público.
Papel autoritativo
Hospeda os domínios do próprio provedor. Precisa de IPv4 público, porque os servidores DNS do mundo precisam alcançá-lo diretamente.
Um mesmo servidor pode exercer os dois papéis, e o produto os mantém separados internamente (essa separação, aliás, é um dos requisitos verificados pelo KINDNS). Mas as exigências de rede são diferentes — veja Sistema e rede.
O que acontece quando o cache está quente
A primeira consulta a um domínio sai para a internet (raiz → TLD → autoritativo) e é guardada em cache. As seguintes saem da memória do próprio servidor, em microssegundos.
Em regime, um provedor típico opera com taxa de acerto de cache acima de 80% — a maior parte das respostas nunca sai da rede. É daí que vem tanto a velocidade quanto a diferença entre os números de capacidade medidos "na borda" e "em recursão fria", explicada em Dimensionamento.