13 Servidores Lógicos (Root Servers)

1. Definição e Papel na Hierarquia DNS

Os servidores raiz (root servers) são o ponto de partida de toda resolução DNS no mundo. Eles não conhecem a resposta para www.exemplo.com.br, mas sabem quem sabe: os servidores autoritativos do TLD .br. Em uma consulta DNS recursiva, o resolvedor (recursivo) pergunta primeiro aos root servers, que respondem com uma referência (RRset do tipo NS) para o TLD correspondente.

Embora o nome sugira "13 servidores", existem na verdade 13 identidades lógicas (letras A a M), implementadas fisicamente em mais de 1.700 instâncias distribuídas globalmente graças à técnica de anycast. Essa disseminação reduz latência e aumenta a resiliência contra ataques DDoS.

2. Por que exatamente 13?

O limite de 13 servidores raiz vem de uma restrição técnica histórica: a consulta DNS inicial usa UDP, e a resposta precisa caber em 512 bytes (limite do DNS clássico pré-EDNS0, RFC 1035). Cada entrada NS ocupa aproximadamente 20-30 bytes (nome + IP). Com 13 root servers, a resposta com seus endereços IPv4 preenche quase todo o payload disponível.

Com a adoção de EDNS0 (RFC 6891, 2013), payloads maiores tornaram-se possíveis, mas a quantidade de 13 foi mantida por compatibilidade e estabilidade. Hoje cada um dos 13 também anuncia endereços IPv6, dobrando o tamanho da resposta, mas o limite foi preservado.

3. Os 13 Servidores Lógicos (A a M)

Cada servidor raiz é identificado por uma letra de A a M. Originalmente havia apenas um operador por letra, mas hoje vários são operados por consórcios. A tabela abaixo resume os operadores e endereços:

Operadores notáveis:
- Verisign opera dois root servers (A e J), além de ser o operador autoritativo dos TLDs .com e .net.
- ISC foi o operador do F até 2024, quando transferiu a operação para a.bulk.
- RIPE NCC opera o K — única instância raiz gerida por um RIR europeu.
- WIDE (Japão) opera o M, com instâncias em vários países asiáticos.

4. Anycast: Como 13 Viram Milhares

A mágica por trás da robustez do DNS raiz é o anycast BGP. Cada operador anuncia o mesmo bloco IP (por exemplo, 192.5.5.0/24 do servidor F) a partir de múltiplas localidades no mundo. O BGP, por sua natureza, faz com que pacotes destinados a esse IP sejam roteados para a instância mais próxima em termos de métrica de roteamento (AS-path, IGP cost).

Vantagens do Anycast

• Latência reduzida: clientes brasileiros chegam a uma instância em São Paulo, não em Los Angeles.
• Resiliência a DDoS: um ataque de 1 Tbps é absorvido por centenas de instâncias, cada uma recebendo uma fração.
• Tolerância a falhas: se uma instância cai, o BGP desvia o tráfego para a próxima mais próxima em segundos.

Quantidade de Instâncias (2024)

O total de instâncias físicas passa de 1.700, conforme o site https://root-servers.org mantém atualizado. Os servidores F, J, K, L possuem a maior disseminação geográfica.

5. O Root Zone File

Os 13 root servers servem todos o mesmo conteúdo: o root zone file, mantido pela IANA (subdivisão da ICANN via PTI - Public Technical Identifiers). Esse arquivo contém:

• Registros NS para todos os TLDs (.com, .org, .br, .uk, etc.).
• Registros A/AAAA (glue records) para os servidores autoritativos de cada TLD.
• Registros DS para DNSSEC de cada TLD (cadeia de confiança).
• Records SOA, DNSKEY e RRSIG da própria raiz.

O arquivo tem ~2 MB e é atualizado algumas vezes por semana. Quando uma mudança ocorre (por exemplo, novo TLD delegado), o Verisign (operador do servidor A e do "primary master") gera a nova zona e os demais root servers fazem transferência de zona (AXFR) para se atualizar.

Exemplo de consulta ao root server

dig @198.41.0.4 br. NS

# Resposta: lista dos servidores autoritativos do TLD .br (a.dns.br, b.dns.br, ...)

6. Operação e Governança

A operação dos root servers é coordena pelo Root Server Operations Advisory Committee (RSSAC), ligado à ICANN. As decisões técnicas são tomadas em conjunto pelos operadores. Cada operador é responsável por:

• Disponibilizar hardware, rede e energia para suas instâncias.
• Anunciar os prefixos via BGP para provedores de trânsito.
• Sincronizar a zona a partir do servidor primário (A) gerido pela Verisign.
• Publicar logs e métricas em https://root-servers.org.

A governança é descentralizada: nenhum governo controla todos os 13. Isso é fundamental para evitar captura política da infraestrutura crítica da internet.

7. Resiliência e Ataques Históricos

O DNS raiz já sofreu diversos ataques DDoS volumosos:

• Outubro de 2002: ataque de 1 Gbps contra 13 root servers derrubou 9 por horas. Motivou a expansão do anycast.
• Novembro de 2015: ataque de 5 Tbps contra Dyn (provedor DNS, não raiz), mas espelhou preocupação sobre o DNS raiz.
• 2016 (Mirai): botnet com milhões de dispositivos IoT atacou os root servers; graças ao anycast, praticamente nenhum usuário percebeu.

O anycast é a principal defesa. Mesmo que 50% das instâncias caiam, o tráfego é redirecionado para as restantes.

8. KSK Roll (Key Signing Key)

A chave raiz do DNSSEC (KSK) é a âncora de confiança de toda a internet. Ela foi rolada (trocada) em 2018 pela primeira vez desde a implementação do DNSSEC em 2010. Esse processo foi delicado: todos os resolvedores recursivos tinham a chave pública antiga (trust anchor) configurada; se não fossem atualizados, a validação DNSSEC falharia para toda a internet.

A rolada foi feita em duas fases (RFC 8101) e foi bem-sucedida. A próxima rolada está prevista para ~2026-2027.

# Trust anchor atual (KSK-2017)
# em /etc/unbound/root.key ou equivalente:
. 172800 IN DNSKEY 257 3 8 AwEAAaz/tAm8yTn4Mfeh5...

9. Como Testar e Inspeção

Consultar um root server diretamente

# Verificar qual root server está respondendo para você (via anycast)
dig @1.1.1.1 whoami.arpa TXT

# Consultar a raiz
dig @k.root-servers.net com. NS

# Traçar a hierarquia completa
dig +trace www.exemplo.com.br

A saída do dig +trace mostra as etapas: root → TLD → autoritativo → resposta final.

Verificar o root hints local

Resolvedores recursivos usam um arquivo root.hints para descobrir os 13 root servers na primeira inicialização:

cat /etc/bind/db.root   # Debian/Ubuntu
cat /var/named/named.ca # RHEL/CentOS

Esse arquivo deve ser atualizado periodicamente (a cada poucos anos), embora mudanças nos endereços dos root servers sejam extremamente raras.

10. Conclusão

Os 13 root servers são o coração lógico do DNS global. O número 13 é uma herança técnica do DNS original, mas a engenharia moderna — anycast BGP com milhares de instâncias — tornou o sistema extraordinariamente robusto, sobrevivendo a ataques de terabits por segundo sem que usuários percebam. Compreender o papel dos root servers como apenas o primeiro passo da resolução (não a fonte de toda resposta) é essencial para diagnosticar problemas de DNS, configurar resolvedores recursivos e entender a cadeia de confiança do DNSSEC. A governança descentralizada entre operadores independentes é o que protege a internet contra captura política ou falhas catastróficas.