DNS-Abfrage und Resolver-Vergleich

Wählen Sie einen Eintragstyp, dann geht die Anfrage gleichzeitig an vier öffentliche Resolver. Die Antworten stehen nebeneinander, gefolgt von einer Tabelle, die Wert für Wert zeigt, welcher Resolver welchen Eintrag geliefert hat — so fällt eine Abweichung auf einen Blick auf, statt hinter der Meinung eines einzelnen Resolvers verborgen zu bleiben. Jede Antwort behält ihre TTL, und jeder Resolver meldet, ob er den Namen mit DNSSEC validieren konnte. Wenn die Resolver sich widersprechen, rät die Seite nicht: Sie listet genau auf, was sich unterscheidet, nennt die beiden Erklärungen, die fast jeden realen Fall abdecken, und zeigt, wie Sie sie unterscheiden können.
Zu auflösender Name
Vergleich
Bereit. Noch wurde keine Abfrage gesendet.
Namen eingeben, Eintragstyp wählen und auflösen.
Eintragstypen, Antwortcodes und Antworten, die falsch aussehen, es aber nicht sind
Eintragstypen. A ordnet einem Namen eine IPv4-Adresse zu, AAAA eine IPv6-Adresse. CNAME sagt, dass der Name ein anderer Name ist, und Resolver folgen der Kette bis zum Ende. MX listet die Mailserver auf, jeweils mit einer Prioritätsnummer; die niedrigste Nummer wird zuerst versucht. TXT enthält Freitext und ist der Ort für Mail-Richtlinien: Eine SPF-Richtlinie beginnt mit v=spf1, ein DKIM-Schlüssel liegt unter einem Selektornamen, der auf ._domainkey endet, und eine DMARC-Richtlinie liegt bei _dmarc vor der Domain. NS listet die für eine Zone zuständigen Nameserver, SOA ist der Kopfeintrag der Zone selbst und enthält die Cache-Zeit für negative Antworten. SRV lokalisiert einen Dienst an Host und Port, CAA legt fest, welche Zertifizierungsstellen Zertifikate für den Namen ausstellen dürfen, PTR ist die Umkehrrichtung von einer Adresse zurück zu einem Namen, und TLSA bindet ein Zertifikat an einen Dienst. DS und DNSKEY enthalten die Schlüssel, die die DNSSEC-Validierung ermöglichen, und HTTPS sowie SVCB beschreiben, wie ein Dienst erreicht wird, einschließlich der Parameter für neuere Protokolle.

Antwortcodes. NOERROR ohne Einträge bedeutet, dass der Name existiert, aber nichts des angefragten Typs hat. NXDOMAIN bedeutet, dass der Name überhaupt nicht existiert, und diese Antwort wird eine Weile zwischengespeichert; ein Name, der vor einer Minute angelegt wurde, kann daher noch als fehlend erscheinen. SERVFAIL bedeutet, dass der Resolver die Anfrage nicht abschließen konnte; eine defekte DNSSEC-Signatur ist einer der häufigsten Gründe. REFUSED bedeutet, dass der Resolver diese Anfrage nicht beantworten wollte.

TTL. Die TTL ist die Anzahl Sekunden, die ein Resolver den Eintrag behalten darf. Sie ist der Grund, warum zwei Resolver eine Zeit lang legitim unterschiedliche Antworten zeigen können: Einer hält noch die alte Kopie, bis sein Timer abläuft. Deshalb ist das Erste, was nach einer Änderung zu prüfen ist, ob alle Resolver aufgeholt haben, nicht ob einer von ihnen falsch liegt.

DNSSEC in einem Absatz. Ein Resolver, der das Flag für authentifizierte Daten meldet, sagt, dass er die Antwort mit kryptografischen Signaturen ausgehend vom eigenen Schlüssel der Domain verifizieren konnte. Ein fehlendes Flag beweist keine Manipulation: Die Zone ist vielleicht einfach nicht signiert, oder der Resolver validiert gar nicht. Interessant ist der Fall, in dem ein Resolver einen Fehler meldet, während die anderen Einträge liefern, denn eine fehlschlagende Signatur ist genau das, wie eine gefälschte Antwort aussieht.

Antworten, die falsch aussehen, es aber nicht sind. Große Websites, Content-Netzwerke und alles mit standortabhängigem DNS liefern bewusst unterschiedliche Adressen an unterschiedliche Resolver; Abweichungen sind dort normal und kein Zeichen für etwas Schlechtes. Eine Adresse wie 0.0.0.0, :: oder eine private Adresse in einer A- oder AAAA-Antwort ist meist eine bewusste Sperre durch den Betreiber des Resolvers und keine Umleitung auf der Leitung; sie bedeutet aber, dass der Resolver die Antwort verändert hat. Diese Seite zeigt Ihnen den Unterschied und die Begründung und nennt nie, welche Antwort die echte ist.