Recursor
A tela que define quem pode consultar, o que fazer quando a resolução falha, e como o servidor trata DNSSEC e privacidade.
Onde fica: DNS principal → Recursor · rota /recursor
Permissão: recursor
Subtítulo na tela: Configurações do PowerDNS Recursor (porta 5301 — interno)
Não tem abas: é uma pilha de oito seções.
Três seções desta tela não configuram o Recursor
ACL, IPs onde o DNS responde e IPv6 escrevem no DNSdist e reiniciam o DNSdist, não o Recursor. Os rótulos dos botões avisam ("reinicia DNSdist"), mas é a maior fonte de confusão da tela.
1. ACL — quem pode consultar este DNS
A regra mais importante do produto. Define quais faixas de IP podem usar este servidor para resolver nomes.
| Elemento | O que faz |
|---|---|
| Descoberta por ASN | Busca os prefixos de um provedor e adiciona todos de uma vez |
| Lista de sub-redes | Faixas em CIDR, uma por vez. O botão de adicionar chama-se Add |
| Seletor de listas | Referencia listas de acesso reutilizáveis |
| Salvar regras de acesso (reinicia DNSdist) | Grava e aplica |
A lista efetiva é o que você digitou mais a expansão das listas de acesso vinculadas.
O que muda no DNS: IPs fora da lista recebem REFUSED em consultas recursivas e nem
chegam ao motor de resolução. As zonas autoritativas locais
continuam respondendo ao mundo — isso é intencional.
0.0.0.0/0 e ::/0 são removidos automaticamente ao salvar. Um resolvedor aberto é recrutado
em horas para ataques de amplificação.
2. Recuperação automática de falhas (SERVFAIL)
Desligado por padrão. Quando ligado, uma resolução que falharia com SERVFAIL é refeita em
DNS públicos configuráveis; se der certo, o assinante recebe a resposta real.
| Campo | Padrão | O que muda |
|---|---|---|
| Servidores de Fallback | 8.8.8.8, 1.1.1.1, 9.9.9.9 | Tentados em ordem até o primeiro que responder. Há atalhos para Google, Cloudflare, Quad9, OpenDNS e AdGuard |
| Timeout por servidor | 2 s (1–30) | Quanto cada público tem antes de cair para o próximo |
| TTL máximo das respostas | 300 s (60–86400) | Teto de cache das respostas resgatadas |
| Caminho rápido para domínios crônicos | ligado | Domínios que falham repetidamente passam a ir direto ao público, pulando a recursão condenada. Sai sozinho quando o domínio volta a resolver |
| Resgates até marcar | 3 (1–100) | Quantos resgates até marcar o domínio como crônico |
| Validade da marca | 300 s | Quanto a marca dura antes de reavaliar |
As estatísticas (total recuperado, últimas 24 h, últimos 7 dias) e o botão Ver eventos só aparecem depois do primeiro resgate.
Ligando esta função, os timeouts recomendados em Ajuste fino mudam: 800–1000 ms por servidor e 3000 ms no total. Sem esse ajuste, o fallback demora demais para entrar em ação.
3. Fallback DNS Público
Diferente do anterior. Aqui todas as consultas passam a ser encaminhadas a um DNS público — o servidor deixa de resolver pela raiz.
Modelos prontos: Google, Cloudflare, Quad9. Ou um endereço próprio no campo livre.
É o oposto da recuperação de SERVFAIL, que só age nas falhas. Ligar isto significa abrir mão da resolução independente: latência maior, e o tráfego de consultas dos assinantes passa a depender de um terceiro.
4. Resiliência e Privacidade (avançado)
Servir resposta antiga em caso de falha (RFC 8767)
Desligado por padrão. Ligado, quando a renovação de um registro falha porque os autoritativos
estão fora do ar, o servidor entrega a cópia expirada em vez de SERVFAIL.
Janela selecionável: 30 s, 60 s, 120 s ou 300 s. Ligar pelo interruptor usa 120 s.
Como a resposta velha é NOERROR, ela não dispara a recuperação de SERVFAIL — os dois são
complementares: este cobre domínio já visto, aquele cobre domínio novo.
Privacidade de consultas (QName Minimization, RFC 9156)
Ligado por padrão. A raiz e o TLD deixam de ver o nome completo consultado pelo cliente — cada nível recebe só o rótulo mínimo. Se a minimização falhar, o servidor reenvia o nome completo automaticamente.
Validação DNSSEC
Dois modos: Padrão (process) e Estrito (validate). O padrão de fábrica é process.
Em Estrito, uma resposta com DNSSEC quebrado vira SERVFAIL para o cliente. É o modo
exigido pelo KINDNS.
Toda esta seção replica no cluster. Dois nós em modos diferentes responderiam diferente ao mesmo cliente.
5. Encaminhamento por domínio
Envia um domínio específico para servidores determinados, em vez de resolver pela raiz. Caso de uso típico: domínio interno da empresa apontando para o AD local.
Cada entrada tem zona, servidores de destino e um marcador Recursivo ou Autoritativo.
Em espanhol esta seção chama-se Reenvío condicional — não é tradução literal do rótulo em português. Se você opera nos dois idiomas, é o mesmo lugar.
6. IPs onde o DNS responde (Listen)
Define em quais IPs o DNSdist faz bind na porta 53. Padrão: 0.0.0.0:53.
O seletor lista os IPs reais das interfaces. Endereços na loopback aparecem marcados com o
chip lo — é ali que vive o IP virtual do anycast.
Armadilha do anycast
Usando anycast, o IP virtual precisa estar nesta lista. Senão o nó anuncia a rota via BGP mas
não responde na porta 53 — o tráfego chega e morre. Deixe 0.0.0.0:53 ou inclua o IP
virtual explicitamente.
7. IPv6
Habilita os listeners [::]:53, [::]:853 e [::]:443.
O produto recusa ligar se o servidor não tiver rota IPv6 padrão, e explica por quê: abrir
o [::]:53 sem rota expõe um endereço sem proteção e faz o resolvedor perder tempo tentando
alcançar servidores externos por um caminho que não existe. Configure rota e firewall v6 antes.
8. IP de saída para consultas
O endereço de origem das consultas que o servidor faz aos autoritativos da internet. Vazio significa automático, pela rota.
O produto rejeita qualquer IP que não exista em nenhuma interface da máquina — a validação de sintaxe do PowerDNS não pegaria esse erro.
Botões do topo
Reiniciar Recursor pede confirmação e avisa o efeito real: as consultas em andamento são encerradas e os contadores zeram, mas o DNSdist continua servindo cache durante o intervalo de 1 a 2 segundos. A configuração é validada antes de qualquer reinício.
Armadilhas
- Três seções escrevem no DNSdist, não no Recursor — veja o alerta no topo.
- O selo de sincronização com o cluster fica por seção, de propósito: ACL, encaminhamentos e políticas replicam; IPs de escuta e IP de saída não (são identidade do nó).
- Vários parâmetros avançados que ficavam aqui migraram para Ajuste fino.
- Toda escrita passa por validação de configuração com reversão automática — o serviço nunca reinicia para dentro de uma configuração inválida.
Roteiro
O passo a passo de restringir a recursão está em Restringir quem usa o resolvedor.