誰が答えを出したのか尋ねる
どちらかのツールが壊れていなくても、2 つのDNSルックアップが一致しない場合があります。権威サーバーにゾーンの現在のデータを問い合わせることができます。他の人は、以前の答えを保持している再帰的リゾルバに質問するかもしれません。有用な認証調査では、検索サイトからの緑色のチェックをドメインの最終状態として扱う代わりに、各観測結果を生成したパスを記録します。
権威サーバーは、サービスを提供するゾーンから応答します。再帰リゾルバーはクライアントに代わって機能し、他のサーバーに問い合わせたり、キャッシュされた情報を再利用したりします。通常、スタブリゾルバーは質問を再帰的サービスに渡します。同じソフトウェアが複数の役割を実行できるため、製品名に依存するのではなく、この特定の応答の役割を特定してください。 RFC 1034 、セクション 4.3.1 および 5.3.1.
この区別は、新しく出版される場合に重要です。 DKIMセレクター DNSホストのツールには表示されますが、検証者は利用できないままです。当局は、サーバーが現在どのようなサービスを提供しているかを確立できます。再帰的な結果は、1 つの受信パスで何が表示されるかを説明するのに役立ちます。どちらの観察ももう一方の代わりにはなりません。
エンドポイントを選択する前に委任を確立します
まず、メッセージまたはサービス指示に含まれる正確な所有者とタイプから始めます。その所有者を担当するゾーンへの委任に従います。子ゾーンには親とは異なる権限のあるサーバーを含めることができ、プロバイダー エイリアスは再び別のゾーンにつながることができます。古いチケットに表示されているDNSホストは、委任されたホストではなくなっている可能性があります。 RFC 1034 、セクション 4.2.1 ～ 4.2.2.
権限のあるサーバー名とそのアドレスのリストを準備し、関連するサーバーに直接クエリを実行します。どのアドレスに連絡したかを保存します。異なる当局が異なるレコードを返す場合は、まずDNS公開またはゾーン サービングの問題を調査してください。リゾルバーは、利用可能なあらゆる権限に合法的に遭遇できます。必要な応答を持つサーバーを選択しても、不一致は解決されません。
トレースは委任パスを検査するのに役立ちますが、それは別の観察です。受信者のキャッシュされたパス、転送設定、送信元ネットワーク、または DNSSEC 検証動作。トレースをメール プロバイダーのクエリ履歴として表示するのではなく、トレースとしてラベル付けします。
フラグをその制限とともに解釈する
AA フラグは、 DNS応答内の権威ある回答を識別します。 RD は再帰が要求されたことを記録します。 RA は再帰の可用性をアドバタイズします。 RD と RA は、サーバーがこの応答に対して新たな検索を実行したことを証明しません。再帰的サーバーはキャッシュからのリクエストを満たすことができます。 RFC 1035 、セクション 4.1.1.
直接の権限チェックの場合は、再帰なしを要求し、実際の応答を検査します。 AA、紹介、REFUSED、またはタイムアウトのない応答には解釈が必要です。サーバー アドレスだけでは、すべての返信が信頼できるものになるわけではありません。エイリアスが表示される場合は、各所有者とターゲットを表示したままにし、どのゾーンが最終データを提供するかを識別します。別名所有者に対する権限は、そのターゲットに対する権限を自動的に確立しません。
完全な質問、回答、および権限セクションを保持します。 TXT文字列のみを出力するコマンドは、古いキャッシュ データ、参照、エイリアス、不在応答を区別するために必要なコンテキストを非表示にします。短い出力は、完全な診断レコードが保存された後にすばやく読み取るのに役立ちます。
リゾルバー観測の架空のペアを比較する
架空のセレクターを想像してください blue._domainkey.example.com。 UTC 10:00 に、2 つの関連する権威サーバーが、新しく意図された公開キー レコードを返します。 10:02 に、リゾルバー A は残り 420 秒の古いキーを返し、リゾルバー B は新しいキーを返します。現時点では、結果と TTL は推論を説明するために発明されたものです。ネットワーク測定は行われませんでした。
このパターンはさまざまなキャッシュ履歴と一致しますが、観察だけでは原因を証明できません。すべての質問で同じ名前、タイプ、クラスが使用されていること、サーバー エンドポイントが記録されていること、分割ビューや転送ポリシーによって回答が変更されていないことを確認してください。リゾルバー A が後で一貫性のない権限から更新する場合、単に待っているだけでは問題が解決しない可能性があります。
提案されたインシデントメモには、「サンプリングされた当局は新しい鍵に同意します。解決者 A は依然として古い鍵を返します。受信者の結果はまだ観察されていません。」と記載されています。すべての受信者が更新されたことや、認証が通過したことは述べられていません。ルックアップ画面をきれいに見せるためにレコードを削除するのではなく、調整されたローテーション計画の下で、古い公開キーの可用性と送信者の署名の移行を維持します。
データの問題と到達可能性の問題を分離する
再帰的なSERVFAILでは、それが確立されません。 記録 は不在です。機関に到達できない場合、委任が失敗する場合、またはDNSSEC検証によりリゾルバーが回答を受け入れられない場合があります。 1 台のサーバーからの直接の回答は調査の範囲を狭めますが、すべての依存関係が再帰的リゾルバーにとって正常であることは証明されません。
輸送も重要です。 DNSは TCP サポートが必要であり、切り捨てられた UDP 応答には TCP の再試行が必要になる場合があります。提案されたものを比較する @AUTH_IP blue._domainkey.example.comを掘ります。 TXT +norecurse 同じクエリを使用して +tcp 輸送が関係する場合。テストに合格するためだけにファイアウォールやセキュリティの設定を変更しないでください。責任のあるオペレータに診断されたパスを確認してもらいます。 RFC 7766のセクション 5 ～ 6.
比較を再現可能にする
クエリごとに 1 つのワークシート行を使用します: UTC タイムスタンプ、オペレーターの場所、サーバー エンドポイント、再帰の選択、所有者、タイプ、クラス、応答コード、フラグ、レコード、TTL、トランスポート。選択した観察を文書化された間隔で繰り返し、以前の行を保存します。 DNSキャッシュは進化するため、最初の結果を上書きすると、有用なタイミング証拠が削除されます。
影響を受ける送信者を介した制御されたメッセージで終了し、ID と信頼できる受信者の結果を保持します。 DNS比較によって依存関係を説明できます。受信箱の配置や特定の受信者の内部検索を示すことはできません。この記事では、提案されたワークフローと架空の比較を提供します。カタログ証拠ゲートが閉じられる前に、元のタイムスタンプ付きの信頼できる再帰的回答が引き続き必要となります。