Hola!
El día de ayer, en conversaciones con gente de un ISP bastante grande en Chile, notaron un comportamiento extraño, por decirlo de alguna manera, de al menos un root-server que estaba afectando a varias personas de Chile.
Este comportamiento se suscitaba al resolver dominios como facebook.com, youtube.com o twitter.com. Y en la primera pregunta que debían resolver uno de los root-servers (el día de ayer, al menos el root que se veía afectado por el ISP fue el "I") se mostraba en vez de los referral a .COM, un set de IPs como registro "A".
Este es un ejemplo de lo que aparecía...
$ dig @i.root-servers.net www.facebook.com A
; <<>> DiG 9.6.1-P3 <<>> @i.root-servers.net www.facebook.com A ; (1 server found) ;; global options: +cmd ;; Got answer: ;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 7448 ;; flags: qr aa rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 0
;; QUESTION SECTION: ;www.facebook.com. IN A
;; ANSWER SECTION: www.facebook.com. 86400 IN A 8.7.198.45
;; Query time: 444 msec ;; SERVER: 192.36.148.17#53(192.36.148.17) ;; WHEN: Wed Mar 24 14:21:54 2010 ;; MSG SIZE rcvd: 66
O sea, "parecía" responder como si fuese el root-server I (ver ip abajo donde dice SERVER), pero retornaba una respuesta de un servidor con los flags "ra" activados (algo que ningún root-server debe hacer) ...todas las sospechas apuntaban a que "algo" entremedio estaba cambiando las respuestas.
Esta situación, no ocurría siempre que se preguntaba, pero sí ocurría lo suficiente como para que más de alguna persona no pudiese ver por momentos estos sitios.
Hoy al parecer no ha vuelto a ocurrir el problema, pero por comentarios[1] hechos por Roy Arends, un investigador de Nominet; este hecho se estaría dando desde hace algún tiempo con dominios que calzaran xxx.com O sea, ni siquiera que fuese *exactamente* xxx.com, sino que podría ser cualquier cosa como xxx.com.cero32.cl o xxx.com.vulcano.cl
Raro... muy raro.
Alguien más vio o sigue viendo este comportamiento? Creo que sería interesante poder discutir este tema para ver si esto se está propagando más allá de lo que se ha visto hasta ahora.
Saludos!
Ref: [1] https://lists.dns-oarc.net/pipermail/dns-operations/2010-March/005266.html