Ricerca DNS e confronto dei resolver

Chieda un tipo di record e la richiesta viene inviata a quattro resolver pubblici contemporaneamente. Le risposte sono disposte una accanto all'altra, seguite da una tabella valore per valore che mostra quale resolver ha restituito quale record, così un disaccordo è visibile a colpo d'occhio invece di essere nascosto dietro l'opinione di un solo resolver. Ogni risposta conserva il suo TTL, e ogni resolver indica se è stato in grado di validare il nome con DNSSEC. Quando i resolver non concordano, la pagina non indovina: elenca esattamente che cosa differisce e fornisce le due spiegazioni che coprono quasi ogni caso reale, poi le dice come distinguerle.
Nome da risolvere
Confronto
Pronto. Nessuna richiesta è ancora stata inviata.
Inserisca un nome, scelga un tipo di record, poi risolva.
Tipi di record, codici di risposta e le risposte che sembrano sbagliate ma non lo sono
Tipi di record. A associa un nome a un indirizzo IPv4, AAAA a un indirizzo IPv6. CNAME indica che il nome è un altro nome, e i resolver seguono la catena fino in fondo. MX elenca i server di posta, ciascuno con un numero di priorità: viene provato per primo quello con il numero più basso. TXT contiene testo libero ed è dove vivono le politiche della posta: una politica SPF inizia con v=spf1, una chiave DKIM si trova sotto un nome di selettore che termina con ._domainkey, e una politica DMARC si trova in _dmarc davanti al dominio. NS elenca i name server responsabili di una zona, SOA è il record di intestazione della zona stessa e contiene il tempo di cache delle risposte negative. SRV individua un servizio su un host e una porta, CAA indica quali autorità di certificazione possono emettere certificati per il nome, PTR è la direzione inversa da un indirizzo a un nome, e TLSA fissa un certificato per un servizio. DS e DNSKEY trasportano le chiavi che rendono possibile la validazione DNSSEC, e HTTPS e SVCB descrivono come raggiungere un servizio, compresi i parametri per i protocolli più recenti.

Codici di risposta. NOERROR senza record significa che il nome esiste ma non ha nulla del tipo richiesto. NXDOMAIN significa che il nome non esiste affatto, e questa risposta viene memorizzata in cache per un po', quindi un nome creato un minuto fa può risultare ancora mancante. SERVFAIL significa che il resolver non è riuscito a completare il lavoro, e una firma DNSSEC non valida è una delle cause più comuni. REFUSED significa che il resolver ha rifiutato di rispondere a quella richiesta.

TTL. Il TTL è il numero di secondi per cui un resolver può conservare il record. È il motivo per cui due resolver possono legittimamente mostrare risposte diverse per un certo periodo: uno conserva ancora la copia vecchia finché il suo timer non scade. Per questo la prima cosa da verificare dopo una modifica è se tutti i resolver si sono aggiornati, non se uno di loro sbaglia.

DNSSEC, in un paragrafo. Un resolver che riporta il flag dei dati autenticati dichiara di aver potuto verificare la risposta con firme crittografiche partendo dalla chiave del dominio. L'assenza del flag non prova una manomissione: la zona potrebbe semplicemente non essere firmata, o il resolver potrebbe non validare affatto. Un resolver che riporta un errore mentre gli altri restituiscono record è il caso interessante, perché una firma non valida è esattamente ciò che ha una risposta falsificata.

Risposte che sembrano sbagliate ma non lo sono. I grandi siti, le reti di distribuzione dei contenuti e tutto ciò che usa un DNS sensibile alla posizione restituiscono deliberatamente indirizzi diversi a resolver diversi, quindi il disaccordo è normale in questi casi e non è segno di nulla di grave. Un indirizzo come 0.0.0.0, :: o un indirizzo privato in una risposta A o AAAA è di solito un blocco deliberato da parte di chi gestisce il resolver, non un dirottamento sulla rete, ma significa comunque che il resolver ha modificato la risposta. Questa pagina le mostra la differenza e il ragionamento, e non le dice mai quale delle due sia la risposta vera.