DNS-uppslagning och jämförelse av resolvrar

Ange en posttyp så skickas frågan till fyra publika resolvrar samtidigt. Svaren visas bredvid varandra, följt av en tabell värde för värde som visar vilken resolver som returnerade vilken post, så att en oenighet syns direkt i stället för att döljas bakom en enskild resolvers åsikt. Varje svar behåller sin TTL, och varje resolver redovisar om den kunde validera namnet med DNSSEC. När resolvrarna inte är överens gissar sidan inte: den listar exakt vad som skiljer sig och ger de två förklaringar som täcker nästan alla verkliga fall, och visar sedan hur man skiljer dem åt.
Namn att slå upp
Jämförelse
Klart. Ingen förfrågan har skickats ännu.
Ange ett namn, välj en posttyp och slå sedan upp.
Posttyper, svarskoder och svar som ser fel ut men inte är det
Posttyper. A kopplar ett namn till en IPv4-adress, AAAA till en IPv6-adress. CNAME säger att namnet är ett annat namn, och resolvrar följer kedjan till slutet. MX listar e-postservrarna, var och en med ett prioritetsnummer där lägst nummer prövas först. TXT innehåller fri text och är där e-postpolicyer finns: en SPF-policy börjar med v=spf1, en DKIM-nyckel ligger under ett selektornamn som slutar på ._domainkey, och en DMARC-policy ligger på _dmarc framför domänen. NS listar namnservrarna som ansvarar för en zon, SOA är zonens egen rubrikpost och innehåller tiden för cachning av negativa svar. SRV lokaliserar en tjänst på en värd och port, CAA säger vilka certifikatutfärdare som får utfärda certifikat för namnet, PTR är den omvända riktningen från en adress tillbaka till ett namn, och TLSA fäster ett certifikat för en tjänst. DS och DNSKEY bär de nycklar som gör DNSSEC-validering möjlig, och HTTPS och SVCB beskriver hur en tjänst nås, inklusive parametrar för nyare protokoll.

Svarskoder. NOERROR utan poster betyder att namnet finns men saknar något av den typ som efterfrågades. NXDOMAIN betyder att namnet inte finns alls, och det svaret cachas en stund, så ett namn som skapades för en minut sedan kan fortfarande visas som saknat. SERVFAIL betyder att resolvern inte kunde slutföra uppgiften, och en trasig DNSSEC-signatur är en av de vanligaste orsakerna. REFUSED betyder att resolvern avböjde att svara på frågan.

TTL. TTL är antalet sekunder en resolver får behålla posten. Det är skälet till att två resolvrar en tid legitimt kan visa olika svar: en av dem har fortfarande den gamla kopian tills dess timer löper ut. Det är också därför det första man kontrollerar efter en ändring är om varje resolver har hunnit ikapp, inte om en av dem har fel.

DNSSEC i ett stycke. En resolver som rapporterar flaggan för autentiserade data säger att den kunde verifiera svaret med kryptografiska signaturer med början i domänens egen nyckel. En saknad flagga bevisar inte manipulation: zonen kan helt enkelt vara osignerad, eller resolvern kanske inte validerar alls. En resolver som rapporterar ett fel samtidigt som de andra returnerar poster är det intressanta fallet, eftersom en misslyckad signatur är precis hur ett förfalskat svar ser ut.

Svar som ser fel ut men inte är det. Stora webbplatser, innehållsnätverk och allt med platsmedveten DNS ger medvetet olika adresser till olika resolvrar, så oenighet är normalt där och är inget tecken på något dåligt. En adress som 0.0.0.0, :: eller en privat adress i ett A- eller AAAA-svar är oftast en avsiktlig blockering av den som driver resolvern, inte ett kapat svar på ledningen, men det betyder att resolvern ändrade svaret. Den här sidan visar skillnaden och resonemanget, och säger aldrig vilket av dem som är det verkliga svaret.