DNS-haku ja resolverien vertailu

Pyydä tietuetyyppi, ja kysely lähtee neljälle julkiselle resolverille yhtä aikaa. Vastaukset asetetaan vierekkäin, minkä jälkeen tulee arvokohtainen taulukko, joka näyttää, mitkä resolverit palauttivat mitäkin tietuetta, joten erimielisyys näkyy heti sen sijaan, että se piiloutuisi yhden resolverin mielipiteen taakse. Jokainen vastaus säilyttää TTL-arvonsa, ja jokainen resolveri ilmoittaa, pystyikö se validoimaan nimen DNSSEC:llä. Kun resolverit ovat eri mieltä, sivu ei arvaa: se listaa tarkalleen, mikä eroaa, ja antaa kaksi selitystä, jotka kattavat lähes jokaisen todellisen tapauksen, ja kertoo sitten, miten ne erotetaan.
Nimi, joka ratkaistaan
Vertailu
Valmis. Kyselyä ei ole vielä lähetetty.
Syötä nimi, valitse tietuetyyppi ja ratkaise.
Tietuetyypit, vastauskoodit ja vastaukset, jotka näyttävät vääriltä mutta eivät ole
Tietuetyypit. A yhdistää nimen IPv4-osoitteeseen, AAAA IPv6-osoitteeseen. CNAME kertoo, että nimi on toinen nimi, ja resolverit seuraavat ketjua loppuun asti. MX listaa postipalvelimet, kukin prioriteettinumerolla, jossa pienin numero kokeillaan ensin. TXT sisältää vapaata tekstiä ja siellä asuvat postikäytännöt: SPF-käytäntö alkaa v=spf1:llä, DKIM-avain sijaitsee valitsimen nimen alla, joka päättyy ._domainkey:hin, ja DMARC-käytäntö sijaitsee _dmarc:ssa verkkotunnuksen edessä. NS listaa vyöhykkeestä vastaavat nimipalvelimet, SOA on vyöhykkeen oma otsaketietue ja sisältää negatiivisen vastausvälimuistin ajan. SRV paikantaa palvelun isännän ja portin, CAA kertoo, mitkä varmenteen myöntäjät saavat myöntää varmenteita nimelle, PTR on käänteinen suunta osoitteesta takaisin nimeen, ja TLSA kiinnittää varmenteen yhteen palveluun. DS ja DNSKEY kantavat avaimet, jotka tekevät DNSSEC-validoinnin mahdolliseksi, ja HTTPS ja SVCB kuvaavat, miten palveluun päästään, mukaan lukien uudempien protokollien parametrit.

Vastauskoodit. NOERROR ilman tietueita tarkoittaa, että nimi on olemassa mutta siinä ei ole pyytämääsi tyyppiä. NXDOMAIN tarkoittaa, että nimeä ei ole ollenkaan, ja tämä vastaus on välimuistissa jonkin aikaa, joten minuutti sitten luotu nimi voi yhä näkyä puuttuvana. SERVFAIL tarkoittaa, että resolveri ei pystynyt saattamaan työtä loppuun, ja rikkinäinen DNSSEC-allekirjoitus on yksi yleisimmistä syistä. REFUSED tarkoittaa, että resolveri kieltäytyi vastaamasta kyselyyn.

TTL. TTL on sekuntien määrä, jonka resolveri saa pitää tietuetta. Se on syy, miksi kaksi resolveria voi oikeutetusti näyttää hetken eri vastauksia: toinen pitää yhä vanhaa kopiota, kunnes sen ajastin loppuu. Siksi ensimmäinen asia muutoksen jälkeen on tarkistaa, ovatko kaikki resolverit saaneet kiinni, eikä se, onko yksi niistä väärässä.

DNSSEC yhdessä kappaleessa. Resolveri, joka ilmoittaa todennetun datan lipun, kertoo validoineensa vastauksen kryptografisilla allekirjoituksilla alkaen verkkotunnuksen omasta avaimesta. Lipun puuttuminen ei todista väärentämistä: vyöhyke voi yksinkertaisesti olla allekirjoittamaton, tai resolveri ei validoi lainkaan. Resolveri, joka ilmoittaa virheen samaan aikaan kun muut palauttavat tietueita, on mielenkiintoinen tapaus, koska epäonnistunut allekirjoitus on juuri sitä, miltä väärennetty vastaus näyttää.

Vastaukset, jotka näyttävät vääriltä mutta eivät ole. Suuret sivustot, sisältöverkot ja kaikki sijaintitietoinen DNS jakavat tarkoituksella eri osoitteita eri resolvereille, joten erimielisyys on siellä normaalia eikä merkki mistään pahasta. Osoite kuten 0.0.0.0, :: tai yksityisosoite A- tai AAAA-vastauksessa on yleensä tarkoituksellinen esto resolverin ylläpitäjältä, ei kaappaus langalla, mutta se tarkoittaa, että resolveri muutti vastausta. Tämä sivu näyttää eron ja perustelun, eikä koskaan kerro, kumpi on oikea vastaus.