Wyszukiwanie DNS i porównanie resolwerów

Wybierz typ rekordu, a zapytanie trafi jednocześnie do czterech publicznych resolverów. Odpowiedzi są ułożone obok siebie, a potem następuje tabela wartość po wartości, która pokazuje, który resolver zwrócił jaki rekord, więc rozbieżność jest widoczna na pierwszy rzut oka, zamiast ukryta za opinią jednego resolvera. Każda odpowiedź zachowuje swój TTL, a każdy resolver informuje, czy zdołał zweryfikować nazwę przez DNSSEC. Gdy resolvery się nie zgadzają, strona nie zgaduje: wypisuje dokładnie, co się różni, podaje dwa wyjaśnienia obejmujące prawie każdy realny przypadek, a potem mówi, jak je rozróżnić.
Nazwa do rozwiązania
Porównanie
Gotowe. Jeszcze nie wysłano żadnego zapytania.
Wpisz nazwę, wybierz typ rekordu, a potem rozwiąż.
Typy rekordów, kody odpowiedzi i odpowiedzi, które wyglądają źle, ale nie są
Typy rekordów. A odwzorowuje nazwę na adres IPv4, AAAA na adres IPv6. CNAME mówi, że nazwa jest inną nazwą, a resolvery podążają łańcuchem do końca. MX wypisuje serwery pocztowe, każdy z numerem priorytetu, gdzie najniższy numer jest próbowany jako pierwszy. TXT przechowuje dowolny tekst i tam żyją zasady poczty: polityka SPF zaczyna się od v=spf1, klucz DKIM leży pod nazwą selektora kończącą się na ._domainkey, a polityka DMARC znajduje się pod _dmarc przed domeną. NS wypisuje serwery nazw odpowiedzialne za strefę, SOA to nagłówek samej strefy i zawiera czas cache'owania odpowiedzi negatywnych. SRV lokalizuje usługę pod hostem i portem, CAA mówi, które urzędy certyfikacji mogą wystawiać certyfikaty dla nazwy, PTR to kierunek odwrotny, od adresu z powrotem do nazwy, a TLSA przypina certyfikat dla jednej usługi. DS i DNSKEY niosą klucze, które umożliwiają walidację DNSSEC, a HTTPS i SVCB opisują, jak dotrzeć do usługi, w tym parametry nowszych protokołów.

Kody odpowiedzi. NOERROR bez rekordów oznacza, że nazwa istnieje, ale nie ma nic tego typu, o który pytano. NXDOMAIN oznacza, że nazwa w ogóle nie istnieje, a ta odpowiedź jest buforowana przez pewien czas, więc nazwa utworzona minutę temu nadal może wyglądać na nieistniejącą. SERVFAIL oznacza, że resolver nie zdołał dokończyć zadania, a uszkodzony podpis DNSSEC to jedna z najczęstszych przyczyn. REFUSED oznacza, że resolver odmówił odpowiedzi na to zapytanie.

TTL. TTL to liczba sekund, przez którą resolver może przechowywać rekord. To dlatego dwa resolvery mogą przez jakiś czas legalnie pokazywać różne odpowiedzi: jeden wciąż trzyma starą kopię, aż upłynie jego zegar. Dlatego pierwszą rzeczą do sprawdzenia po zmianie jest to, czy każdy resolver już nadrobił, a nie to, czy któryś z nich się myli.

DNSSEC w jednym akapicie. Resolver, który zgłasza flagę zweryfikowanych danych, mówi, że zdołał sprawdzić odpowiedź podpisami kryptograficznymi zaczynając od własnego klucza domeny. Brak flagi nie dowodzi manipulacji: strefa może po prostu nie być podpisana albo resolver nie waliduje. Najciekawszy przypadek to resolver, który zgłasza błąd, podczas gdy inne zwracają rekordy, bo nieprawidłowy podpis to dokładnie to, jak wygląda sfałszowana odpowiedź.

Odpowiedzi, które wyglądają źle, ale nie są. Duże serwisy, sieci treści i wszystko z DNS uwzględniającym lokalizację celowo wydaje różne adresy różnym resolverom, więc niezgodność jest tam normalna i nie świadczy o niczym złym. Adres taki jak 0.0.0.0, :: albo prywatny w odpowiedzi A lub AAAA to zwykle celowa blokada ze strony operatora resolvera, a nie przejęcie na łączu, ale oznacza, że resolver zmienił odpowiedź. Ta strona pokazuje różnicę i rozumowanie, i nigdy nie mówi, która odpowiedź jest prawdziwa.