Kysy kuka vastasi
Kaksi DNS hakua voivat olla eri mieltä ilman, että kumpikaan työkalu on rikki. Voidaan pyytää valtuutetulta palvelimelta vyöhykkeen nykyiset tiedot; toinen voi kysyä rekursiiviselta ratkaisijalta, jolla on aikaisempi vastaus. Hyödyllinen todennustutkimus kirjaa, mikä polku on tuottanut kunkin havainnon, sen sijaan, että käsittäisi vihreää tarkistusta mistä tahansa hakusivustosta toimialueen lopullisena tilana.
Arvovaltainen palvelin vastaa palvelimilta vyöhykkeiltä. Rekursiivinen ratkaisija toimii asiakkaan puolesta, konsultoi muita palvelimia tai käyttää uudelleen välimuistissa olevia tietoja. Tynkäratkaisija välittää kysymykset yleensä rekursiiviselle palvelulle. Sama ohjelmisto voi suorittaa useamman kuin yhden roolin, joten tunnista tämän tietyn vastauksen rooli tuotteen nimen sijaan. RFC 1034 , kohdat 4.3.1 ja 5.3.1.
Tällä erolla on merkitystä, kun se julkaistaan äskettäin DKIM valitsin näkyy DNS isännän työkaluissa, mutta ei ole todentajan käytettävissä. Viranomainen voi määrittää, mitä palvelin tällä hetkellä palvelee; rekursiivinen tulos auttaa selittämään, mitä vastaanottava polku voi nähdä. Kumpikaan havainto ei korvaa toista.
Perusta delegaatio ennen päätepisteen valitsemista
Aloita viestin tai huolto-ohjeen tarkasta omistajasta ja tyypistä. Seuraa valtuuskuntaa kyseisestä omistajasta vastaavalle vyöhykkeelle. Lapsivyöhykkeellä voi olla eri arvovaltaisia palvelimia kuin pääpalvelimella, ja palveluntarjoajan alias voi johtaa jälleen eri vyöhykkeelle. Vanhassa lipussa näkyvä DNS isäntä ei ehkä enää ole valtuutettu isäntä. RFC 1034 , kohdat 4.2.1–4.2.2.
Valmistele luettelo arvovaltaisista palvelimien nimistä ja niiden osoitteista ja tee sitten kysely suoraan asiaankuuluvilta palvelimilta. Säilytä, mihin osoitteeseen otettiin yhteyttä. Jos eri viranomaiset palauttavat eri tietueita, tutki ensin DNS julkaisu tai vyöhykkeen käyttöongelma. Ratkaisija voi oikeutetusti kohdata minkä tahansa saatavilla olevan viranomaisen; palvelimen valitseminen halutulla vastauksella ei ratkaise epäjohdonmukaisuutta.
Jäljitys voi auttaa tarkastamaan delegaatiopolun, mutta se on erillinen havainto. Se ei toista vastaanottimen välimuistissa olevaa polkua, edelleenlähetyskokoonpanoa, lähdeverkkoa tai DNSSEC validointikäyttäytyminen. Merkitse jäljitys jäljeksi sen sijaan, että esität sen sähköpostipalveluntarjoajan kyselyhistoriana.
Tulkitse liput niiden rajoilla
AA-lippu identifioi arvovaltaisen vastauksen DNS vastauksessa. RD kirjaa, että rekursiota pyydettiin; RA mainostaa rekursion saatavuutta. RD ja RA eivät todista, että palvelin teki uuden haun tälle vastaukselle. Rekursiivinen palvelin voi täyttää välimuistin pyynnön. RFC 1035 , kohta 4.1.1.
Suoraa viranomaistahtia varten älä pyydä rekursiota ja tarkista varsinainen vastaus. Vastaus ilman AA:ta, lähetettä, KIELTÄTY tai aikakatkaisu vaatii tulkinnan; palvelimen osoite ei yksin tee jokaisesta vastauksesta arvovaltaista. Jos aliaksia näkyy, pidä jokainen omistaja ja kohde näkyvissä ja tunnista, mikä vyöhyke toimittaa lopulliset tiedot. Valtuus aliaksen omistajaan ei automaattisesti määritä valtaa sen kohteelle.
Säilytä täydelliset kysymys-, vastaus- ja auktoriteetit. Komento, joka tulostaa vain TXT merkkijonoja, piilottaa kontekstin, jota tarvitaan erottamaan vanhat välimuistitiedot, viittaus, alias ja poissaolovastaus. Lyhyt tuloste on hyödyllinen nopeaan lukemiseen sen jälkeen, kun täydellinen diagnostiikkatietue on tallennettu.
Vertaa kuvitteellista ratkaisijahavaintojen paria
Kuvittele kuvitteellinen valitsin blue._domainkey.example.com. Klo 10.00 UTC kaksi asiaankuuluvaa arvovaltaista palvelinta palauttavat juuri tarkoitetun julkisen avaimen tietueen. Klo 10.02 Ratkaisija A palauttaa vanhemman avaimen 420 sekuntia jäljellä, kun taas Ratkaisija B palauttaa uuden avaimen. Nämä ajat, tulokset ja TTL:t on keksitty havainnollistamaan päättelyä; verkkomittauksia ei tehty.
Tämä malli on yhdenmukainen eri välimuistihistorian kanssa, mutta pelkkä havainto ei todista syytä. Tarkista, että kaikissa kysymyksissä käytettiin samaa nimeä, tyyppiä ja luokkaa, että palvelimen päätepisteet on tallennettu ja ettei mikään jaettu näkymä tai edelleenlähetyskäytäntö ole muuttanut vastausta. Jos Ratkaisija A päivittyy myöhemmin epäjohdonmukaiselta auktoriteetilta, pelkkä odottaminen ei välttämättä ratkaise ongelmaa.
Ehdotetussa tapahtumahuomautuksessa sanottaisiin: "Otokseen valitut viranomaiset sopivat uudesta avaimesta; Ratkaisija A palauttaa edelleen vanhan avaimen; vastaanottajan tulosta ei ole vielä havaittu." Se ei tarkoita, että jokainen vastaanotin on päivitetty tai että todennus nyt läpäisee. Pidä vanhemman julkisen avaimen saatavuus ja lähettäjän allekirjoitussiirtymä koordinoidussa kiertosuunnitelmassa sen sijaan, että poistaisit tietueita, jotta hakunäyttö näyttäisi siistiltä.
Erota tietoongelmat saavutettavuusongelmista
Rekursiivinen SERVFAIL ei vahvista sitä ennätys on poissa. Valtuutettu voi olla tavoittamaton, delegointi voi epäonnistua tai DNSSEC tarkistus voi estää ratkaisejaa hyväksymästä vastausta. Suora vastaus yhdeltä palvelimelta kaventaa tutkimusta, mutta ei todista, että kaikki riippuvuudet ovat terveitä rekursiiviselle ratkaisijalle.
Myös liikenteellä on väliä. DNS vaatii TCP-tuen, ja katkaistu UDP-vastaus voi vaatia TCP-uudelleenyrityksen. Vertaa ehdotettua dig @AUTH_IP blue._domainkey.example.com . TXT +norecurse samalla kyselyllä käyttäen +tcp kun kyseessä on kuljetus. Älä muuta palomuuri- tai suojausasetuksia vain saadaksesi testi läpäisemään. pyydä vastuullista käyttäjää tarkistamaan diagnosoitu polku. RFC 7766 , kohdat 5–6.
Tee vertailusta toistettava
Käytä yhtä laskentataulukkoriviä kyselyä kohden: UTC-aikaleima, operaattorin sijainti, palvelimen päätepiste, rekursion valinta, omistaja, tyyppi, luokka, vastauskoodi, liput, tietueet, TTL:t ja siirto. Toista valitut havainnot dokumentoiduin väliajoin ja säilytä aikaisemmat rivit. DNS välimuistit kehittyvät, joten ensimmäisen tuloksen päällekirjoittaminen poistaa hyödylliset ajoitusnäytöt.
Viimeistele kontrolloidulla viestillä asianomaisen lähettäjän kautta ja säilytä henkilöllisyydet ja luotettujen vastaanottajien tulokset. DNS vertailu voi selittää riippuvuuden; se ei voi osoittaa postilaatikon sijoittelua tai tietyn vastaanottajan sisäistä hakua. Tässä artikkelissa esitetään ehdotettu työnkulku ja kuvitteellinen vertailu. Alkuperäiset aikaleimatut arvovaltaiset ja rekursiiviset vastaukset vaaditaan, ennen kuin sen luettelon todisteportti voidaan sulkea.