Spør hvem som har laget svaret
To DNS oppslag kan være uenige uten at begge verktøyene blir ødelagt. Man kan spørre en autoritativ server om sonens gjeldende data; en annen kan spørre en rekursiv resolver som har et tidligere svar. En nyttig autentiseringsundersøkelse registrerer hvilken bane som produserte hver observasjon i stedet for å behandle en grønn sjekk fra et oppslagssted som den endelige tilstanden til domenet.
En autoritativ server svarer fra sonene den betjener. En rekursiv resolver fungerer på vegne av en klient, konsulterer andre servere eller gjenbruker bufret informasjon. En stubbeløser sender vanligvis spørsmål til en rekursiv tjeneste. Den samme programvaren kan utføre mer enn én rolle, så identifiser rollen til denne spesielle responsen i stedet for å stole på et produktnavn. RFC 1034 , avsnitt 4.3.1 og 5.3.1.
Denne forskjellen er viktig når en nylig publisert DKIM velger vises i DNS vertens verktøy, men forblir utilgjengelig for en verifikatoren. Myndigheten kan fastslå hva en server for øyeblikket betjener; det rekursive resultatet hjelper til med å forklare hva en mottakerbane kan se. Ingen av observasjonene står for den andre.
Etabler delegasjonen før du velger et endepunkt
Start med den eksakte eieren og typen som er involvert i meldingen eller serviceinstruksjonen. Følg delegasjonen til sonen som er ansvarlig for den eieren. En underordnet sone kan ha forskjellige autoritative servere enn den overordnede, og et leverandøralias kan føre til en annen sone igjen. DNS verten som vises på en gammel billett er kanskje ikke lenger den delegerte verten. RFC 1034 , avsnitt 4.2.1–4.2.2.
Lag en liste over autoritative servernavn og deres adresser, og forespør deretter de relevante serverne direkte. Ta vare på hvilken adresse som ble kontaktet. Hvis forskjellige myndigheter returnerer forskjellige poster, undersøk DNS publiseringen eller soneserveringsproblemet først. En resolver kan legitimt møte enhver tilgjengelig autoritet; å velge serveren med ønsket svar løser ikke inkonsekvensen.
Et spor kan hjelpe til med å inspisere delegasjonsbanen, men det er en egen observasjon. Den gjengir ikke en mottakers bufrede bane, videresendingskonfigurasjon, kildenettverk eller DNSSEC valideringsadferd. Merk et spor som et spor i stedet for å presentere det som e-postleverandørens spørringshistorikk.
Tolk flagg med sine grenser
AA-flagget identifiserer et autoritativt svar i DNS svaret. RD registrerer at rekursjon ble forespurt; RA annonserer tilgjengelighet for rekursjon. RD og RA beviser ikke at serveren utførte et nytt oppslag for dette svaret. En rekursiv server kan tilfredsstille en forespørsel fra cache. RFC 1035 , avsnitt 4.1.1.
For en direkte autoritetssjekk, be om ingen rekursjon og inspiser det faktiske svaret. Et svar uten AA, en henvisning, NEVERT eller en timeout krever tolkning; serveradressen alene gjør ikke hvert svar autoritativt. Der aliaser vises, hold hver eier og mål synlig og identifiser hvilken sone som leverer de endelige dataene. Autoritet over aliaseieren etablerer ikke automatisk autoritet over målet.
Ta vare på de fullstendige spørsmål-, svar- og autorisasjonsdelene. En kommando som bare skriver ut TXT strenger skjuler kontekst som trengs for å skille mellom gamle bufrede data, en henvisning, et alias og et fraværssvar. Kort utgang er nyttig for rask lesing etter at hele diagnoseposten er lagret.
Sammenlign et fiktivt par resolverobservasjoner
Se for deg en fiktiv velger blue._domainkey.example.com. Klokken 10:00 UTC returnerer to relevante autoritative servere den nylig tiltenkte posten med offentlig nøkkel. Klokken 10:02 returnerer Resolver A en eldre nøkkel med 420 sekunder igjen, mens Resolver B returnerer den nye nøkkelen. Disse tider, resultater og TTL-er er oppfunnet for å illustrere resonnement; Det ble ikke foretatt nettverksmålinger.
Det mønsteret stemmer overens med forskjellige cache-historier, men observasjonen alene beviser ikke årsaken. Sjekk at alle spørsmål brukte samme navn, type og klasse, at serverendepunktene ble registrert, og at ingen delt visning eller videresendingspolicy endret svaret. Hvis Resolver A senere oppdateres fra en inkonsekvent autoritet, kan det hende at venting ikke løser problemet.
Det foreslåtte hendelsesnotatet vil si: "Samplete myndigheter er enige om den nye nøkkelen; Resolver A returnerer fortsatt den gamle nøkkelen; mottakerresultatet er ennå ikke observert." Det vil ikke oppgi at hver mottaker er oppdatert eller at autentisering nå passerer. Hold den eldre offentlige nøkkelens tilgjengelighet og avsenderens signeringsovergang under en koordinert rotasjonsplan i stedet for å slette poster for å få en oppslagsskjerm til å se ryddig ut.
Skille dataproblemer fra tilgjengelighetsproblemer
En rekursiv SERVFAIL fastslår ikke det en rekord er fraværende. En autoritet kan være utilgjengelig, en delegering kan mislykkes, eller DNSSEC validering kan forhindre at løseren godtar svaret. Et direkte svar fra én server begrenser undersøkelsen, men beviser ikke at alle avhengigheter er sunne for den rekursive resolveren.
Transport er også viktig. DNS krever TCP-støtte, og et avkortet UDP-svar kan kreve et nytt TCP-forsøk. Sammenlign et foreslått dig @AUTH_IP blue._domainkey.example.com . TXT +norecurse med samme spørring ved å bruke +tcp når transport er involvert. Ikke endre brannmur eller sikkerhetsinnstillinger bare for å få testen til å bestå; få den ansvarlige operatøren til å gjennomgå den diagnostiserte banen. RFC 7766 , avsnitt 5–6.
Gjør sammenligningen reproduserbar
Bruk én regnearkrad per spørring: UTC-tidsstempel, operatørplassering, serverendepunkt, rekursjonsvalg, eier, type, klasse, svarkode, flagg, poster, TTL-er og transport. Gjenta valgte observasjoner med et dokumentert intervall og bevar de tidligere radene. DNS cacher utvikler seg, så å overskrive det første resultatet fjerner nyttige tidsbevis.
Avslutt med en kontrollert melding gjennom den berørte avsenderen og behold identitetene og pålitelige mottakerresultater. DNS sammenligning kan forklare en avhengighet; den kan ikke demonstrere innboksplassering eller en bestemt mottakers interne oppslag. Denne artikkelen gir en foreslått arbeidsflyt og en fiktiv sammenligning. Originale tidsstemplede autoritative og rekursive svar er fortsatt nødvendige før katalogbevisporten kan lukkes.