DNS-opslag og sammenligning af resolvere

Angiv en posttype, og forespørgslen sendes til fire offentlige resolvere samtidig. Svarene vises side om side, efterfulgt af en tabel værdi for værdi, der viser, hvilke resolvere der returnerede hvilken post, så uenighed er synlig med et enkelt blik i stedet for at blive skjult bag én resolvers mening. Hvert svar bevarer sin TTL, og hver resolver rapporterer, om den kunne validere navnet med DNSSEC. Når resolverne er uenige, gætter siden ikke: den lister præcis, hvad der afviger, og giver de to forklaringer, der dækker næsten alle reelle tilfælde, og viser derefter, hvordan de skilles ad.
Navn der skal slås op
Sammenligning
Klar. Ingen forespørgsel er sendt endnu.
Indtast et navn, vælg en posttype, og slå derefter op.
Posttyper, svarkoder og de svar, der ser forkerte ud, men ikke er det
Posttyper. A knytter et navn til en IPv4-adresse, AAAA til en IPv6-adresse. CNAME siger, at navnet er et andet navn, og resolvere følger kæden til enden. MX lister mailserverne, hver med et prioritetstal, hvor det laveste tal forsøges først. TXT indeholder fri tekst og er der, hvor mailpolitikker ligger: en SPF-politik starter med v=spf1, en DKIM-nøgle ligger under et selektornavn, der slutter på ._domainkey, og en DMARC-politik ligger på _dmarc foran domænet. NS lister navneserverne, der er ansvarlige for en zone, SOA er zonens egen headerpost og indeholder cachetiden for negative svar. SRV finder en tjeneste på en vært og port, CAA angiver, hvilke certifikatudstedere der må udstede certifikater for navnet, PTR er den omvendte retning fra en adresse tilbage til et navn, og TLSA fastlåser et certifikat for én tjeneste. DS og DNSKEY bærer de nøgler, der gør DNSSEC-validering mulig, og HTTPS og SVCB beskriver, hvordan man når en tjeneste, inklusive parametrene for nyere protokoller.

Svarkoder. NOERROR uden poster betyder, at navnet findes, men intet af den type, der blev spurgt om. NXDOMAIN betyder, at navnet slet ikke findes, og det svar cachet i et stykke tid, så et navn, der blev oprettet for et minut siden, kan stadig vises som manglende. SERVFAIL betyder, at resolveren ikke kunne fuldføre opgaven, og en brudt DNSSEC-signatur er en af de hyppigste årsager. REFUSED betyder, at resolveren nægtede at besvare forespørgslen.

TTL. TTL er antallet af sekunder, en resolver må beholde posten. Det er grunden til, at to resolvere legitimt kan vise forskellige svar i et stykke tid: den ene har stadig den gamle kopi, indtil dens timer løber ud. Det er også derfor, at det første, man skal tjekke efter en ændring, er, om alle resolvere er nået op, ikke om en af dem er forkert.

DNSSEC, i ét afsnit. En resolver, der rapporterer det autentificerede data-flag, siger, at den kunne verificere svaret med kryptografiske signaturer, startende fra domænets egen nøgle. Et manglende flag beviser ikke manipulation: zonen kan blot være usigneret, eller resolveren validerer slet ikke. En resolver, der rapporterer en fejl, samtidig med at de andre returnerer poster, er det interessante tilfælde, fordi en fejlende signatur netop er, hvad et forfalsket svar ligner.

Svar, der ser forkerte ud, men ikke er det. Store sites, indholdsnetværk og alt med lokationsbevidst DNS udleverer bevidst forskellige adresser til forskellige resolvere, så uenighed er normal dér og er ikke et tegn på noget dårligt. En adresse som 0.0.0.0, :: eller en privat adresse i et A- eller AAAA-svar er normalt en bevidst blokering fra den, der driver resolveren, ikke et kup på ledningen, men det betyder, at resolveren ændrede svaret. Denne side viser forskellen og begrundelsen og fortæller aldrig, hvilket der er det rigtige svar.