Vyhľadávanie DNS a porovnanie resolverov

Zadá sa typ záznamu a dotaz sa naraz pošle štyrom verejným resolverom. Odpovede sa usporiadajú vedľa seba a nasleduje tabuľka hodnota po hodnote, ktorá ukazuje, ktorý resolver vrátil aký záznam, takže nesúlad je vidieť na prvý pohľad a nie je skrytý za názorom jedného resolvera. Každá odpoveď si zachová svoj TTL a každý resolver uvádza, či dokázal názov overiť cez DNSSEC. Keď sa resolvery nezhodnú, stránka nehádže: vypíše presne, čo sa líši, a uvedie dve vysvetlenia, ktoré pokrývajú takmer každý skutočný prípad, a potom ukáže, ako ich od seba rozlíšiť.
Názov na preklad
Porovnanie
Pripravené. Zatiaľ nebol odoslaný žiadny dotaz.
Zadá sa názov, zvolí sa typ záznamu a potom sa preloží.
Typy záznamov, kódy odpovedí a odpovede, ktoré vyzerajú nesprávne, ale nie sú
Typy záznamov. A priraďuje názov k adrese IPv4, AAAA k adrese IPv6. CNAME hovorí, že názov je iný názov, a resolvery sledujú reťazec až na koniec. MX uvádza poštové servery, každý s prioritným číslom, pričom sa najprv vyskúša najnižšie číslo. TXT obsahuje voľný text a sú v ňom uložené poštové politiky: politika SPF začína v=spf1, kľúč DKIM sa nachádza pod názvom selektora končiacim na ._domainkey a politika DMARC sa nachádza na _dmarc pred doménou. NS uvádza menné servery zodpovedné za zónu, SOA je hlavičkový záznam samotnej zóny a obsahuje čas cachovania záporných odpovedí. SRV nájde službu na hostiteľovi a porte, CAA určuje, ktoré certifikačné autority môžu vydávať certifikáty pre názov, PTR je opačný smer od adresy späť k názvu a TLSA pripína certifikát pre jednu službu. DS a DNSKEY nesú kľúče, vďaka ktorým je možné overenie DNSSEC, a HTTPS a SVCB popisujú, ako sa dostať k službe, vrátane parametrov pre novšie protokoly.

Kódy odpovedí. NOERROR bez záznamov znamená, že názov existuje, ale nemá nič z typu, ktorý bol požadovaný. NXDOMAIN znamená, že názov vôbec neexistuje, a táto odpoveď sa cachuje na chvíľu, takže názov vytvorený pred minútou sa môže stále javiť ako chýbajúci. SERVFAIL znamená, že resolver nedokázal dokončiť úlohu, a jedným z najčastejších dôvodov je pokazený podpis DNSSEC. REFUSED znamená, že resolver na tento dotaz odmietol odpovedať.

TTL. TTL je počet sekúnd, počas ktorých môže resolver záznam uchovávať. Práve preto sa môžu dva resolvery oprávnene dočasne zhodovať v odpovediach inak: jeden ešte drží starú kópiu, kým jeho časovač neuplynie. Preto je prvá vec, ktorú treba po zmene skontrolovať, to, či všetky resolvery dobehli, a nie to, či je niektorý z nich nesprávny.

DNSSEC v jednom odseku. Resolver, ktorý hlási príznak overených údajov, potvrdzuje, že odpoveď overil kryptografickými podpismi začínajúcimi od vlastného kľúča domény. Chýbajúci príznak nedokazuje manipuláciu: zóna nemusí byť podpísaná alebo resolver vôbec neoveruje. Zaujímavý prípad je, keď jeden resolver hlási zlyhanie, kým ostatné vrátia záznamy, pretože zlyhaný podpis je presne to, ako vyzerá sfalšovaná odpoveď.

Odpovede, ktoré vyzerajú nesprávne, ale nie sú. Veľké weby, siete doručovania obsahu a všetko s DNS citlivou na polohu zámerne vydávajú rôznym resolverom rôzne adresy, takže nesúlad je tam normálny a nie je znakom ničoho zlého. Adresa ako 0.0.0.0, :: alebo súkromná adresa v odpovedi A či AAAA je zvyčajne zámerné blokovanie zo strany prevádzkovateľa resolvera, nie únos na linke, no znamená to, že resolver odpoveď zmenil. Táto stránka ukazuje rozdiel a zdôvodnenie a nikdy nehovorí, ktorá odpoveď je skutočná.