Căutare DNS și comparare a rezolvatorilor

Se cere un tip de înregistrare și interogarea merge simultan la patru rezolvatori publici. Răspunsurile sunt așezate unul lângă altul, urmate de un tabel valoare cu valoare care arată ce rezolvator a returnat ce înregistrare, astfel încât un dezacord este vizibil dintr-o privire, în loc să fie ascuns în spatele părerii unui singur rezolvator. Fiecare răspuns își păstrează TTL-ul, iar fiecare rezolvator arată dacă a reușit să valideze numele cu DNSSEC. Când rezolvatorii nu sunt de acord, pagina nu ghicește: enumeră exact ce diferă și oferă cele două explicații care acoperă aproape fiecare caz real, apoi arată cum se pot distinge una de alta.
Nume de rezolvat
Comparare
Gata. Nicio interogare nu a fost trimisă încă.
Se introduce un nume, se alege un tip de înregistrare, apoi se rezolvă.
Tipuri de înregistrări, coduri de răspuns și răspunsurile care par greșite, dar nu sunt
Tipuri de înregistrări. A asociază un nume cu o adresă IPv4, AAAA cu o adresă IPv6. CNAME spune că numele este un alt nume, iar rezolvatorii urmează lanțul până la capăt. MX listează serverele de e-mail, fiecare cu un număr de prioritate, unde cel mai mic număr se încearcă primul. TXT conține text liber și aici trăiesc politicile de e-mail: o politică SPF începe cu v=spf1, o cheie DKIM stă sub un nume de selector care se termină în ._domainkey, iar o politică DMARC stă la _dmarc în fața domeniului. NS listează serverele de nume responsabile pentru o zonă, SOA este înregistrarea de antet a zonei și conține timpul de cache pentru răspunsul negativ. SRV localizează un serviciu pe o gazdă și un port, CAA spune ce autorități de certificare pot emite certificate pentru nume, PTR este direcția inversă de la o adresă la un nume, iar TLSA fixează un certificat pentru un serviciu. DS și DNSKEY transportă cheile care fac posibilă validarea DNSSEC, iar HTTPS și SVCB descriu cum se ajunge la un serviciu, inclusiv parametrii pentru protocoalele mai noi.

Coduri de răspuns. NOERROR fără înregistrări înseamnă că numele există, dar nu are nimic din tipul cerut. NXDOMAIN înseamnă că numele nu există deloc, iar acest răspuns este stocat în cache o vreme, astfel încât un nume creat acum un minut poate apărea încă drept lipsă. SERVFAIL înseamnă că rezolvatorul nu a putut finaliza cererea, iar o semnătură DNSSEC defectă este unul dintre cele mai frecvente motive. REFUSED înseamnă că rezolvatorul a refuzat să răspundă la interogarea respectivă.

TTL. TTL-ul este numărul de secunde pentru care un rezolvator poate păstra înregistrarea. Acesta este motivul pentru care doi rezolvatori pot arăta legitim răspunsuri diferite o vreme: unul mai păstrează copia veche până când expiră cronometrul. De aceea primul lucru de verificat după o modificare este dacă fiecare rezolvator a ajuns din urmă, nu dacă unul dintre ei greșește.

DNSSEC, într-un paragraf. Un rezolvator care raportează indicatorul de date autentificate spune că a putut verifica răspunsul cu semnături criptografice pornind de la cheia proprie a domeniului. Lipsa indicatorului nu dovedește o modificare ilegală: zona poate pur și simplu să nu fie semnată, sau rezolvatorul poate să nu valideze deloc. Un rezolvator care raportează o eroare în timp ce ceilalți returnează înregistrări este cazul interesant, deoarece o semnătură care eșuează este exact aspectul unui răspuns falsificat.

Răspunsuri care par greșite, dar nu sunt. Site-urile mari, rețelele de conținut și orice sistem DNS sensibil la locație distribuie intenționat adrese diferite către rezolvatori diferiți, așa că dezacordul este normal acolo și nu este semn de ceva rău. O adresă precum 0.0.0.0, :: sau o adresă privată într-un răspuns A sau AAAA este de obicei un blocaj intenționat făcut de cel care administrează rezolvatorul, nu o deturnare pe traseu, dar înseamnă că rezolvatorul a schimbat răspunsul. Această pagină arată diferența și raționamentul și nu spune niciodată care dintre ele este răspunsul real.