اسأل من الذي أنتج الجواب
يمكن أن تختلف عمليتا بحث DNS دون كسر أي من الأداتين. يمكن للمرء أن يطلب من خادم موثوق البيانات الحالية للمنطقة؛ قد يسأل آخر محللًا عوديًا يحمل إجابة سابقة. يقوم تحقيق المصادقة المفيد بتسجيل المسار الذي أنتج كل ملاحظة بدلاً من التعامل مع التحقق الأخضر من أي موقع بحث باعتباره الحالة النهائية للمجال.
يجيب الخادم الرسمي من المناطق التي يخدمها. يعمل المحلل العودي نيابة عن العميل، من خلال استشارة الخوادم الأخرى أو إعادة استخدام المعلومات المخزنة مؤقتًا. يقوم محلل كعب الروتين عمومًا بتمرير الأسئلة إلى خدمة متكررة. يمكن لنفس البرنامج أن يؤدي أكثر من دور، لذا حدد دور هذه الاستجابة المحددة بدلاً من الاعتماد على اسم المنتج. RFC 1034 ، الأقسام 4.3.1 و5.3.1.
هذا التمييز مهم عند نشره حديثا محدد DKIM يظهر في أدوات مضيف DNS ولكنه يظل غير متاح للمتحقق. يمكن للسلطة تحديد ما يخدمه الخادم حاليًا؛ تساعد النتيجة العودية في تفسير ما قد يراه المسار المستقبل. ولا تحل أي من الملاحظتين محل الأخرى.
قم بإنشاء التفويض قبل اختيار نقطة النهاية
ابدأ بالمالك المحدد واكتب الرسالة أو تعليمات الخدمة. اتبع الوفد إلى المنطقة المسؤولة عن ذلك المالك. يمكن أن تحتوي المنطقة التابعة على خوادم موثوقة مختلفة عن المنطقة الأم، ويمكن أن يؤدي الاسم المستعار للموفر إلى منطقة مختلفة مرة أخرى. ربما لم يعد مضيف DNS المعروض على تذكرة قديمة هو المضيف المفوض. RFC 1034 ، الأقسام 4.2.1-4.2.2.
قم بإعداد قائمة بأسماء الخوادم الموثوقة وعناوينها، ثم قم بالاستعلام عن الخوادم ذات الصلة مباشرة. الحفاظ على العنوان الذي تم الاتصال به. إذا قامت سلطات مختلفة بإرجاع سجلات مختلفة، قم بالتحقيق في مشكلة منشور DNS أو خدمة المنطقة أولاً. يمكن للمحلل أن يواجه بشكل شرعي أي سلطة متاحة؛ اختيار الخادم بالإجابة المطلوبة لا يحل التناقض.
يمكن أن يساعد التتبع في فحص مسار التفويض، ولكنه عبارة عن ملاحظة منفصلة. ولا يقوم بإعادة إنتاج المسار المخزن مؤقتًا لجهاز الاستقبال أو تكوين إعادة التوجيه أو الشبكة المصدر أو DNSSEC سلوك التحقق من الصحة. قم بتسمية التتبع كتتبع بدلاً من تقديمه كسجل استعلام لموفر البريد.
تفسير الأعلام مع حدودها
تحدد علامة AA إجابة موثوقة في استجابة DNS . يسجل RD أنه تم طلب العودية؛ تعلن RA عن توفر العودية. لا يثبت RD وRA أن الخادم أجرى بحثًا جديدًا عن هذه الاستجابة. يمكن للخادم العودي تلبية طلب من ذاكرة التخزين المؤقت. RFC 1035 ، القسم 4.1.1.
للتحقق المباشر من السلطة، لا تطلب أي تكرار وتفحص الرد الفعلي. الرد بدون AA، أو إحالة، أو رفض، أو انتهاء المهلة يستدعي التفسير؛ عنوان الخادم وحده لا يجعل كل رد موثوقًا. عند ظهور الأسماء المستعارة، اجعل كل مالك وهدف مرئيًا وحدد المنطقة التي توفر البيانات النهائية. السلطة على مالك الاسم المستعار لا تنشئ السلطة تلقائيًا على هدفه.
احتفظ بأقسام الأسئلة والأجوبة والسلطة الكاملة. الأمر الذي يطبع سلاسل TXT فقط يخفي السياق المطلوب لتمييز البيانات القديمة المخزنة مؤقتًا والإحالة والاسم المستعار واستجابة الغياب. يعد الإخراج القصير مفيدًا للقراءة السريعة بعد حفظ السجل التشخيصي الكامل.
قارن بين زوج خيالي من ملاحظات المحلل
تخيل محددًا خياليًا blue._domainkey.example.com. في الساعة 10:00 بالتوقيت العالمي المنسق، يقوم خادمان معتمدان بإرجاع سجل المفتاح العام المقصود حديثًا. في الساعة 10:02، يقوم Resolver A بإرجاع المفتاح الأقدم مع بقاء 420 ثانية، بينما يقوم Resolver B بإرجاع المفتاح الجديد. في هذه الأوقات، يتم اختراع النتائج وTTLs لتوضيح المنطق؛ لم يتم إجراء أي قياسات للشبكة.
ويتوافق هذا النمط مع تواريخ مختلفة لذاكرة التخزين المؤقت، لكن الملاحظة وحدها لا تثبت السبب. تأكد من أن جميع الأسئلة تستخدم نفس الاسم والنوع والفئة، ومن تسجيل نقاط نهاية الخادم، ومن عدم تغيير طريقة العرض المقسمة أو سياسة إعادة التوجيه للإجابة. إذا تم تحديث المحلل A لاحقًا من مرجع غير متناسق، فقد لا يؤدي الانتظار ببساطة إلى حل المشكلة.
ستنص مذكرة الحادثة المقترحة على ما يلي: "توافق السلطات التي تم أخذ عينات منها على المفتاح الجديد؛ ولا يزال المحلل "أ" يُرجع المفتاح القديم؛ ولم تتم ملاحظة نتيجة المتلقي بعد." لن يذكر أنه تم تحديث كل جهاز استقبال أو أن المصادقة تمر الآن. احتفظ بإتاحة المفتاح العام الأقدم وانتقال توقيع المرسل ضمن خطة تناوب منسقة بدلاً من حذف السجلات لجعل شاشة البحث تبدو مرتبة.
فصل مشاكل البيانات عن مشاكل إمكانية الوصول
لا يثبت SERVFAIL العودي ذلك سجل غائب. قد لا يمكن الوصول إلى السلطة، أو قد يفشل التفويض، أو قد يمنع التحقق من DNSSEC وحدة الحل من قبول الإجابة. تؤدي الإجابة المباشرة من أحد الخوادم إلى تضييق نطاق التحقيق ولكنها لا تثبت أن جميع التبعيات سليمة بالنسبة للمحلل العودي.
النقل مهم أيضا. يتطلب DNS دعم TCP، وقد تتطلب استجابة UDP المقطوعة إعادة محاولة TCP. قارن المقترح حفر @AUTH_IP blue._domainkey.example.com . TXT + لا يوجد لعنة مع نفس الاستعلام باستخدام +برنامج التعاون الفني عندما يكون النقل متورطا. لا تقم بتغيير جدار الحماية أو إعدادات الأمان لمجرد اجتياز الاختبار؛ اطلب من المشغل المسؤول مراجعة المسار الذي تم تشخيصه. RFC 7766 ، الأقسام 5-6.
اجعل المقارنة قابلة للتكرار
استخدم صفًا واحدًا في ورقة العمل لكل استعلام: الطابع الزمني UTC، وموقع المشغل، ونقطة نهاية الخادم، واختيار التكرار، والمالك، والنوع، والفئة، ورمز الاستجابة، والأعلام، والسجلات، وTTLs والنقل. كرر الملاحظات المحددة على فترات موثقة واحتفظ بالصفوف السابقة. تتطور ذاكرة التخزين DNS ، لذا فإن الكتابة فوق النتيجة الأولى تؤدي إلى إزالة أدلة التوقيت المفيدة.
انتهي برسالة يتم التحكم فيها من خلال المرسل المتأثر واحتفظ بالهويات ونتائج المتلقي الموثوق به. يمكن لمقارنة DNS أن تشرح التبعية؛ ولا يمكنه إظهار موضع البريد الوارد أو البحث الداخلي لجهاز استقبال معين. توفر هذه المقالة سير عمل مقترحًا ومقارنة خيالية. تظل الإجابات الرسمية والمتكررة ذات الطابع الزمني الأصلي مطلوبة قبل إغلاق بوابة أدلة الكتالوج الخاصة بها.