DNS-opzoeking en vergelijking van resolvers

Vraag om een recordtype en de query gaat tegelijk naar vier openbare resolvers. De antwoorden staan naast elkaar, gevolgd door een tabel waarin per waarde staat welke resolver welk record heeft teruggegeven, zodat een verschil in één oogopslag zichtbaar is in plaats van verborgen achter de mening van één resolver. Elk antwoord behoudt zijn TTL, en elke resolver meldt of hij de naam met DNSSEC heeft kunnen valideren. Wanneer de resolvers het oneens zijn, gokt de pagina niet: hij somt precies op wat verschilt en geeft de twee verklaringen die vrijwel elk echt geval dekken, en vertelt dan hoe u ze van elkaar onderscheidt.
Te resolveren naam
Vergelijking
Gereed. Er is nog geen query verstuurd.
Voer een naam in, kies een recordtype en los daarna op.
Recordtypen, responscodes en de antwoorden die er verkeerd uitzien maar het niet zijn
Recordtypen. A koppelt een naam aan een IPv4-adres, AAAA aan een IPv6-adres. CNAME zegt dat de naam een andere naam is, en resolvers volgen de keten tot het eind. MX somt de mailservers op, elk met een prioriteitsnummer waarbij het laagste nummer het eerst wordt geprobeerd. TXT bevat vrije tekst en is de plek waar mailbeleid staat: een SPF-beleid begint met v=spf1, een DKIM-sleutel staat onder een selectornaam die eindigt op ._domainkey, en een DMARC-beleid staat op _dmarc voor het domein. NS somt de nameservers op die verantwoordelijk zijn voor een zone, SOA is het eigen kopje van de zone en bevat de cachetijd voor negatieve antwoorden. SRV lokaliseert een dienst op een host en poort, CAA zegt welke certificaatautoriteiten certificaten voor de naam mogen uitgeven, PTR is de omgekeerde richting van een adres terug naar een naam, en TLSA legt een certificaat vast voor één dienst. DS en DNSKEY dragen de sleutels die DNSSEC-validatie mogelijk maken, en HTTPS en SVCB beschrijven hoe een dienst te bereiken is, inclusief de parameters voor nieuwere protocollen.

Responscodes. NOERROR zonder records betekent dat de naam bestaat maar niets heeft van het type dat u vroeg. NXDOMAIN betekent dat de naam helemaal niet bestaat, en dat antwoord wordt een tijdje gecachet, dus een naam die een minuut geleden is aangemaakt kan nog steeds als ontbrekend verschijnen. SERVFAIL betekent dat de resolver de klus niet kon afronden, en een kapotte DNSSEC-handtekening is een van de meest voorkomende redenen. REFUSED betekent dat de resolver weigerde die query te beantwoorden.

TTL. De TTL is het aantal seconden dat een resolver het record mag bewaren. Daarom kunnen twee resolvers een tijdlang legitiem verschillende antwoorden tonen: één houdt nog de oude kopie vast tot zijn timer afloopt. Daarom is het eerste wat u na een wijziging moet controleren of elke resolver is bijgekomen, niet of één ervan ongelijk heeft.

DNSSEC, in één alinea. Een resolver die de vlag van geauthenticeerde gegevens meldt, zegt dat hij het antwoord met cryptografische handtekeningen heeft kunnen verifiëren, beginnend bij de eigen sleutel van het domein. Een ontbrekende vlag bewijst geen sabotage: de zone kan simpelweg niet ondertekend zijn, of de resolver valideert helemaal niet. Een resolver die tegelijk met een fout meldt terwijl de andere records teruggeven, is het interessante geval, omdat een falende handtekening precies is hoe een vervalst antwoord eruitziet.

Antwoorden die er verkeerd uitzien maar het niet zijn. Grote sites, contentnetwerken en alles met locatiebewuste DNS geven bewust verschillende adressen aan verschillende resolvers, dus onenigheid is daar normaal en wijst niet op iets slechts. Een adres als 0.0.0.0, :: of een privéadres in een A- of AAAA-antwoord is meestal een bewuste blokkade door degene die de resolver beheert, geen kaping op de lijn, maar het betekent wel dat de resolver het antwoord heeft veranderd. Deze pagina laat u het verschil en de redenering zien, en zegt nooit welke van beide het echte antwoord is.