DNS-запрос и сравнение резолверов

Укажите тип записи, и запрос уйдёт сразу четырём публичным резолверам. Ответы выводятся рядом друг с другом, за ними идёт таблица «значение за значением», которая показывает, какой резолвер вернул какую запись, так что расхождение видно сразу, а не скрыто за мнением одного резолвера. Каждый ответ сохраняет свой TTL, и каждый резолвер сообщает, смог ли он проверить имя через DNSSEC. Когда резолверы расходятся, страница не угадывает: она перечисляет в точности то, что отличается, приводит два объяснения, которые покрывают почти все реальные случаи, и подсказывает, как их различить.
Имя для разрешения
Сравнение
Готово. Запрос ещё не отправлялся.
Введите имя, выберите тип записи и нажмите «Разрешить».
Типы записей, коды ответов и ответы, которые выглядят неправильно, но таковыми не являются
Типы записей. A сопоставляет имя с адресом IPv4, AAAA — с адресом IPv6. CNAME говорит, что имя — это другое имя, и резолверы проходят цепочку до конца. MX перечисляет почтовые серверы, у каждого есть номер приоритета: сначала пробуется наименьший. TXT хранит произвольный текст, и там живут почтовые политики: политика SPF начинается с v=spf1, ключ DKIM лежит под именем селектора, заканчивающимся на ._domainkey, а политика DMARC находится в _dmarc перед доменом. NS перечисляет серверы имён, ответственные за зону, SOA — собственная служебная запись зоны, содержащая время кеширования отрицательных ответов. SRV указывает службу на хосте и порту, CAA говорит, какие центры сертификации могут выпускать сертификаты для имени, PTR — обратное направление: от адреса к имени, а TLSA закрепляет сертификат для одной службы. DS и DNSKEY несут ключи, которые делают возможной проверку DNSSEC, а HTTPS и SVCB описывают, как добраться до службы, включая параметры новых протоколов.

Коды ответов. NOERROR без записей означает, что имя существует, но записей запрошенного типа у него нет. NXDOMAIN означает, что имени не существует вовсе, и этот ответ кешируется на некоторое время, поэтому имя, созданное минуту назад, может ещё показываться отсутствующим. SERVFAIL означает, что резолвер не смог завершить работу, и одна из самых частых причин — повреждённая подпись DNSSEC. REFUSED означает, что резолвер отказался отвечать на этот запрос.

TTL. TTL — это число секунд, в течение которых резолвер может хранить запись. Именно поэтому два резолвера могут законно показывать разные ответы некоторое время: один ещё хранит старую копию, пока не истечёт её таймер. Поэтому первое, что стоит проверить после изменения, — догнали ли все резолверы изменение, а не виноват ли один из них.

DNSSEC, в одном абзаце. Резолвер, который сообщает флаг проверенных данных, говорит, что смог проверить ответ криптографическими подписями, начиная с собственного ключа домена. Отсутствие флага не доказывает подмены: зона может быть просто не подписана или резолвер вообще не проверяет подписи. Интереснее всего случай, когда резолвер сообщает об ошибке, а остальные возвращают записи, ведь провалившаяся подпись — именно то, как выглядит поддельный ответ.

Ответы, которые выглядят неправильно, но таковыми не являются. Крупные сайты, сети доставки контента и всё, что использует DNS с учётом местоположения, намеренно выдают разным резолверам разные адреса, поэтому расхождение там — норма и не признак чего-то плохого. Адрес вроде 0.0.0.0, :: или частный адрес в ответе A или AAAA обычно является намеренной блокировкой со стороны владельца резолвера, а не перехватом в сети, но это действительно означает, что резолвер изменил ответ. Эта страница показывает вам разницу и рассуждения и никогда не сообщает, какой из ответов настоящий.