DNS-oppslag og resolversammenligning

Be om en postype, så sendes spørringen til fire offentlige resolvere samtidig. Svarene vises ved siden av hverandre, etterfulgt av en tabell verdi for verdi som viser hvilke resolvere som returnerte hvilken post, slik at uenighet blir synlig med ett blikk i stedet for å være skjult bak én resolvers mening. Hvert svar beholder sin TTL, og hver resolver rapporterer om den klarte å validere navnet med DNSSEC. Når resolverne er uenige, gjetter ikke siden: den lister nøyaktig hva som avviker og gir de to forklaringene som dekker nesten alle reelle tilfeller, og forteller så hvordan man skiller dem.
Navn som skal slås opp
Sammenligning
Klar. Ingen spørring er sendt ennå.
Skriv inn et navn, velg en postype, og slå deretter opp.
Postyper, svarkoder og svarene som ser feil ut, men ikke er det
Postyper. A knytter et navn til en IPv4-adresse, AAAA til en IPv6-adresse. CNAME sier at navnet er et annet navn, og resolvere følger kjeden til enden. MX lister mailserverne, hver med et prioritetstall der det laveste tallet prøves først. TXT inneholder fri tekst og er der mailpolicyer ligger: en SPF-policy starter med v=spf1, en DKIM-nøkkel ligger under et selektornavn som slutter på ._domainkey, og en DMARC-policy ligger på _dmarc foran domenet. NS lister navneserverne som er ansvarlige for en sone, SOA er sonens egen toppost og inneholder tiden for cachet negativt svar. SRV finner en tjeneste på en vert og port, CAA sier hvilke sertifikatutstedere som kan utstede sertifikater for navnet, PTR er den motsatte retningen fra en adresse tilbake til et navn, og TLSA fester et sertifikat for én tjeneste. DS og DNSKEY bærer nøklene som gjør DNSSEC-validering mulig, og HTTPS og SVCB beskriver hvordan man når en tjeneste, inkludert parametere for nyere protokoller.

Svarkoder. NOERROR uten poster betyr at navnet finnes, men har ingenting av typen som ble spurt om. NXDOMAIN betyr at navnet ikke finnes i det hele tatt, og svaret caches en stund, så et navn som ble opprettet for et minutt siden kan fortsatt vises som manglende. SERVFAIL betyr at resolveren ikke kunne fullføre oppgaven, og en ødelagt DNSSEC-signatur er en av de vanligste grunnene. REFUSED betyr at resolveren avslo å svare på den spørringen.

TTL. TTL er antall sekunder en resolver kan beholde posten. Det er grunnen til at to resolvere legitimt kan vise ulike svar en stund: en av dem holder fortsatt den gamle kopien til timeren løper ut. Dette er også grunnen til at det første som bør sjekkes etter en endring er om alle resolverne har tatt igjen, ikke om en av dem tar feil.

DNSSEC, i ett avsnitt. En resolver som rapporterer det autentiserte dataflagget sier at den klarte å verifisere svaret med kryptografiske signaturer, startende fra domenets egen nøkkel. Et manglende flagg beviser ikke manipulering: sonen kan ganske enkelt være usignert, eller resolveren validerer ikke i det hele tatt. En resolver som rapporterer en feil samtidig som de andre returnerer poster er det interessante tilfellet, for en feilende signatur er nettopp det et forfalsket svar ser ut som.

Svar som ser feil ut, men ikke er det. Store nettsteder, innholdsnettverk og alt med stedsbevisst DNS gir med vilje ulike adresser til ulike resolvere, så uenighet er normalt der og er ikke tegn på noe galt. En adresse som 0.0.0.0, :: eller en privat adresse i et A- eller AAAA-svar er vanligvis en bevisst blokkering fra den som driver resolveren, ikke et kapret svar på nettverket, men det betyr at resolveren endret svaret. Denne siden viser forskjellen og resonnementet, og den sier aldri hvilket av svarene som er det riktige.