RFC 10001: DNS precisa responder em IPv4 e em IPv6

O que foi publicado

O RFC Editor anunciou em 11 de agosto de 2026 a RFC 10001, com o título "Operational Guidelines for DNS Transport in Mixed IPv4/IPv6 Environments". Ela entra como BCP 91 (Best Current Practice, a categoria de boas práticas operacionais da IETF) e torna obsoleta a RFC 3901, publicada em 2004.

O texto cobre três papéis:

O problema que ela quer evitar

A RFC 3901 se preocupava com um risco chamado particionamento do espaço de nomes: um cliente só com IPv6 não consegue resolver um nome cujos servidores só respondem em IPv4, e o contrário também vale. Em 2004, o pedido era modesto: ter pelo menos um servidor alcançável em IPv4.

Vinte e dois anos depois, redes só IPv6 e redes "IPv6 majoritário" (em que o IPv4 aparece só por tradução) são comuns em operadoras móveis e em provedores de acesso. A nova BCP amplia a recomendação: a zona deve contar com pelo menos dois servidores alcançáveis em IPv4 e dois alcançáveis em IPv6 (confira no texto da RFC o grau exato de exigência, que nas versões preliminares variou entre obrigatório e recomendado). Um servidor com pilha dupla conta uma vez em cada versão.

Conferindo a sua zona em cinco minutos

1. Liste os servidores de nomes: dig NS seudominio.com.br +short.
2. Para cada nome, peça os dois endereços: dig A ns1.seudominio.com.br +short e dig AAAA ns1.seudominio.com.br +short.
3. Confirme que o servidor responde pelo endereço IPv6: dig @<endereço IPv6 do ns1> seudominio.com.br SOA.
4. Confira os registros de cola (glue) na zona pai. Para domínios .br, o registro dos servidores fica no Registro.br; os endereços IPv6 também precisam estar lá quando o servidor de nomes é interno à própria zona.

Se o seu DNS é terceirizado, a mesma conferência vale: muitos serviços já respondem em IPv6, mas vale confirmar com o comando acima, e não só pela documentação.

Exemplo: endereçando servidores DNS dentro de um /48

Imagine um provedor que recebeu o bloco 2001:db8:4c00::/48 (prefixo de documentação, RFC 3849) e quer dar endereços IPv6 fixos para dois servidores autoritativos e para os resolvedores. Uma organização comum é reservar o último /56 do bloco para infraestrutura e tirar dele um /64 por função.

Separar uma sub-rede por função facilita filtros (por exemplo, liberar consulta recursiva só para clientes) e deixa o plano legível. Com 256 sub-redes /64 no /56 de infraestrutura, sobram 253 para outras funções. A calculadora IPv6 monta essa lista a partir do /56.

Um detalhe de projeto: a recomendação fala em alcance pelas duas versões, não em servidores diferentes. Dois servidores com pilha dupla, em locais e redes distintos, já atendem ao mínimo de dois por versão. O que não atende é ter os dois servidores atrás do mesmo enlace ou do mesmo roteador de borda.

E o resolvedor?

Para resolvedores recursivos, a RFC 10001 pede suporte às duas versões do IP e traz orientação para escolher a quem perguntar. Um ponto que interessa a quem usa DNS64 e NAT64 (RFC 6147): quando um servidor autoritativo tem endereço IPv6 próprio e também um endereço sintetizado a partir do IPv4, o texto em discussão na IETF orientava preferir o endereço nativo. Faz sentido operacional: a consulta não passa pelo tradutor, que é mais um ponto de falha.

Na prática, para um provedor:

• os resolvedores devem ter endereço IPv6 e ser anunciados aos clientes também por IPv6 (RA com RDNSS ou DHCPv6);
• o resolvedor deve conseguir sair por IPv6 para consultar autoritativos; firewall que bloqueia UDP e TCP 53 de saída em IPv6 quebra a resolução de zonas só IPv6;
• teste com um domínio cujos servidores só respondem em IPv6 antes de declarar a rede pronta.

Por que um número de cinco dígitos chama atenção

A série de RFCs passou de 9.999 documentos. A IETF trocou suas ferramentas de edição e publicação em 2026 justamente porque as antigas não suportavam números a partir de 10.000. Para quem escreve scripts que leem RFCs pelo número, vale conferir se o código aceita cinco dígitos.

Roteiro para o seu DNS

1. Confira se cada zona tem dois servidores alcançáveis em IPv4 e dois em IPv6.
2. Confira os registros de cola no registro do domínio pai.
3. Teste a resposta pelos endereços IPv6, de fora da sua rede.
4. Dê aos resolvedores endereços IPv6 fixos, em sub-rede própria.
5. Teste a resolução a partir de um cliente só IPv6.

Perguntas frequentes

A RFC 10001 obriga alguma coisa?

Uma BCP não é lei nem regulamento. Ela registra a boa prática que a IETF recomenda. Na operação, ela serve de referência para auditoria, contrato de serviço e revisão de projeto.

Tenho um só servidor de nomes com pilha dupla. Basta?

Não. Ele conta como um servidor em cada versão, e a recomendação é ter dois em cada. Além disso, um servidor único é um ponto único de falha, com ou sem IPv6.

A zona reversa (ip6.arpa) também entra?

Sim. Zonas reversas são zonas de DNS como as outras e também são consultadas por clientes só IPv6. Aplique a mesma conferência.