L'EDNS (Extension Mechanisms for DNS), formalmente definito nella RFC 6891, non è un record tradizionale del file di zona. Invece, è una modifica strutturale al protocollo DNS stesso. Quando il DNS fu originariamente progettato negli anni '80, il protocollo imponeva che qualsiasi query eseguita sul protocollo stateless User Datagram Protocol (UDP) fosse strettamente limitata a un payload massimo di 512 byte. Per decenni questo limite è stato sufficiente per trasmettere indirizzi IP di base. Tuttavia, con l'evolversi di internet, questo tetto rigido è diventato un colossale collo di bottiglia architetturale.

Superare la barriera UDP dei 512 byte

L'introduzione di requisiti infrastrutturali moderni — in particolare gli indirizzi IPv6 a 128 bit e le enormi firme crittografiche generate dal DNSSEC — ha prodotto risposte DNS che superano abitualmente i 1.500 byte. Senza EDNS, un server autoritativo che cerca di restituire un payload grande via UDP è costretto a troncare il pacchetto, impostare il bit "TC" (Truncated) nell'header e costringere il client a riavviare completamente la query su una connessione TCP più lenta e stateful. Questo fallback TCP introduce latenze severe e cumulative nella risoluzione delle applicazioni e stressa le risorse dei server di nomi. L'EDNS risolve il problema iniettando un "pseudo-record OPT" nell'header DNS.

Il pseudo-record OPT e la negoziazione del buffer

Il record OPT non esiste in un file di zona statico: viene generato dinamicamente durante la transazione attiva. Quando un resolver conforme EDNS interroga un server, allega questo record OPT per annunciare la dimensione massima accettabile del payload UDP (comune 1232 o 4096 byte). Se il server autoritativo supporta EDNS, utilizza questa dimensione di buffer negoziata per trasmettere i massicci payload DNSSEC in una singola transazione UDP velocissima, aggirando del tutto il fallback TCP lento.

Diagnosi di blackhole di rete e scarti firewall

L'uso di un verificatore di conformità EDNS è un passaggio obbligato per il debug avanzato di rete. Molti firewall aziendali legacy, sistemi di rilevamento delle intrusioni (IDS) datati e router consumer mal configurati scartano ancora aggressivamente i pacchetti UDP in ingresso superiori a 512 byte, interpretandoli come attacchi di buffer overflow o alluvioni UDP. Quando questo accade, il client subisce timeout DNS severi, causando un'intermittenza nella disponibilità del sito. Inoltre, EDNS introduce telemetria di routing avanzata, come l'EDNS Client Subnet (ECS), che consente ai resolver ricorsivi di passare al server autoritativo un frammento dell'indirizzo IP dell'utente, permettendo ai CDN di instradare il traffico al data center geografico più vicino con estrema precisione.