<span class="Apple-style-span" style="border-collapse: separate; color: rgb(0, 0, 0); font-family: &#39;Times New Roman&#39;; font-style: normal; font-variant: normal; font-weight: normal; letter-spacing: normal; line-height: normal; orphans: 2; text-indent: 0px; text-transform: none; white-space: normal; widows: 2; word-spacing: 0px; font-size: medium;"><span class="Apple-style-span" style="font-family: arial; font-size: small;"><div id="doctitle" style="font-size: small; width: 960px; text-align: center; clear: both; margin-bottom: 10px;">

<p class="title" style="font-size: large; text-align: center; font-weight: bold; margin: 0px;">Deployment of DNSSEC in the Root Zone: Impact Analysis</p><p class="docdate" style="font-size: small; text-align: center; font-style: normal;">

14 April 2011</p></div><p style="font-size: small;">In 2010 ICANN commissioned a study from<span class="Apple-converted-space"> </span><a href="http://www.dns-oarc.net/" style="color: rgb(0, 0, 255);">DNS-OARC</a><span class="Apple-converted-space"> </span>to examine the impact of<span class="Apple-converted-space"> </span><a href="http://www.root-dnssec.org/" style="color: rgb(0, 0, 255);">DNSSEC deployment in the root zone</a>, and in particular the effects on clients from the large DNS responses resulting from the use of a Deliberately Unvalidatable Root Zone (DURZ).</p>

<p style="font-size: small;">The DNS-OARC study drew upon the results of a coordinated data collection exercise by<span class="Apple-converted-space"> </span><a href="http://www.root-servers.org/" style="color: rgb(0, 0, 255);">root server operators</a>, with each data collection window timed to coincide with a<span class="Apple-converted-space"> </span><a href="http://www.root-dnssec.org/wp-content/uploads/2010/05/draft-icann-dnssec-deployment-02.txt" style="color: rgb(0, 0, 255);">transition by one or more root servers</a><span class="Apple-converted-space"> </span>[TXT, 28 KB] from serving an unsigned root zone to serving the DURZ.</p>

<p style="font-size: small;">ICANN is publishing this report in order to share its findings with the wider DNS community.</p><p style="font-size: small;">The conclusion of the DNS-OARC study is included below.</p><blockquote style="font-size: small;">

<p style="font-size: small;">The average message size of UDP-based DNS response size grew by about 40%, from 405 to 569 octets. The largest observed responses were just over 900 octets.</p><p style="font-size: small;">There is evidence that the introduction of the DURZ resulted in an increase in the number of query retries for some types of query, but it is unclear whether this corresponds to clients with path MTU issues or is simply path MTU discovery at work. The apparent absence of any problem reports strongly suggests the latter.</p>

<p style="font-size: small;">The number of TCP-based DNS queries to the root servers increased by approximately 1333%, from 30 per second prior to the introduction of the DURZ to around 400 per second afterwords. However, TCP-based queries, which were a miniscule 0.02% of total query traffic before the DURZ, were still only 0.17% of it afterwords. While 400 TCP connections per second may seem high, it is small relative to available capacity, particularly as the root servers comprise approximately 300 individual nodes. The number of clients using TCP for DNS queries rose by over 1800% from around 1600 distinct sources per hour to nearly 30,000. This is still a tiny fraction of all DNS clients.</p>

</blockquote><p style="font-size: small;"><a href="http://icann.org/en/presentations/dnssec-root-zone-deployment-impact-analysis-15dec10-en.pdf" style="color: rgb(0, 0, 255);">Deployment of DNSSEC in the Root Zone: Impact Analysis</a><span class="Apple-converted-space"> </span>[PDF, 799 KB]</p>

</span></span>