DNS ルックアップとリゾルバー比較

レコード種別。 A は名前を IPv4 アドレスに、AAAA は IPv6 アドレスに対応付けます。 CNAME はその名前が別の名前であることを示し、リゾルバーはチェーンを最後まで辿ります。 MX はメールサーバーを優先度番号つきで列挙し、最も小さい番号から試されます。 TXT は自由テキストを保持し、メールポリシーの置き場所です：SPF ポリシーは v=spf1 で始まり、 DKIM 鍵は ._domainkey で終わるセレクター名の下に、DMARC ポリシーはドメインの前の _dmarc に置かれます。 NS はゾーンを担当するネームサーバーを列挙し、SOA はゾーン自体のヘッダーレコードで、否定応答の キャッシュ時間を含みます。SRV はサービスをホストとポートで特定し、CAA はどの認証局が その名前の証明書を発行してよいかを示し、PTR はアドレスから名前への逆方向、 TLSA は 1 つのサービスに証明書をピン留めします。DS と DNSKEY は DNSSEC 検証を可能にする鍵を運び、HTTPS と SVCB は新しいプロトコルの パラメータを含めてサービスへの到達方法を記述します。

応答コード。レコードなしの NOERROR は、名前は存在するが要求した種別のものがないことを意味します。 NXDOMAIN はその名前がまったく存在しないことを意味し、その回答はしばらくキャッシュされるため、 1 分前に作られた名前がまだ存在しないと表示されることがあります。 SERVFAIL はリゾルバーが作業を完了できなかったことを意味し、壊れた DNSSEC 署名が 最も一般的な理由の 1 つです。REFUSED はリゾルバーがそのクエリへの回答を拒否したことを意味します。

TTL。TTL はリゾルバーがそのレコードを保持できる秒数です。2 つのリゾルバーが しばらく異なる回答を正当に示しうる理由です：片方はタイマーが切れるまで古いコピーを保持しています。 変更後に最初に確認すべきは、1 つが間違っているかではなく、すべてのリゾルバーが追いついたかどうかです。

DNSSEC を一段落で。認証済みデータフラグを報告するリゾルバーは、ドメイン自身の鍵から始まる 暗号署名で回答を検証できたと言っています。フラグの欠如は改ざんの証明にはなりません：ゾーンが単に署名されていないか、 リゾルバーがまったく検証していないだけかもしれません。他がレコードを返すのと同時に失敗を報告するリゾルバーが 興味深いケースです。署名の検証失敗は、まさに偽造された回答の姿だからです。

間違って見えるがそうでない回答。大規模サイト、コンテンツネットワーク、位置認識 DNS を持つものは、 異なるリゾルバーに意図的に異なるアドレスを渡します。そこでの不一致は正常で、悪いことの兆候ではありません。 A / AAAA 回答内の 0.0.0.0、::、プライベートアドレスのようなアドレスは、通常、回線上の 乗っ取りではなくリゾルバーの運用者による意図的なブロックです。ただしリゾルバーが回答を変更したことは意味します。 このページは差異と理由を表示し、どちらが本当の回答かを告げることは決してありません。