Fråga vem som producerade svaret
Två DNS uppslagningar kan inte överensstämma utan att något av verktygen går sönder. Man kan fråga en auktoritativ server om zonens aktuella data; en annan kan fråga en rekursiv resolver som har ett tidigare svar. En användbar autentiseringsundersökning registrerar vilken sökväg som producerade varje observation istället för att behandla en grön bock från någon uppslagsplats som det slutliga tillståndet för domänen.
En auktoritativ server svarar från de zoner den betjänar. En rekursiv resolver arbetar på klientens vägnar, konsulterar andra servrar eller återanvänder cachad information. En stubblösare skickar vanligtvis frågor till en rekursiv tjänst. Samma programvara kan utföra mer än en roll, så identifiera rollen för detta specifika svar snarare än att lita på ett produktnamn. RFC 1034 , avsnitt 4.3.1 och 5.3.1.
Denna distinktion har betydelse när en nypublicerad DKIM väljare visas i DNS värdens verktyg men förblir otillgänglig för en verifierare. Myndigheten kan fastställa vad en server för närvarande betjänar; det rekursiva resultatet hjälper till att förklara vad en mottagande väg kan se. Ingen av observationerna står för den andra.
Upprätta delegationen innan du väljer en slutpunkt
Börja med den exakta ägaren och typen som är inblandad i meddelandet eller serviceinstruktionen. Följ delegationen till den zon som är ansvarig för den ägaren. En underordnad zon kan ha andra auktoritativa servrar än föräldern, och ett leverantörsalias kan leda till en annan zon igen. DNS värden som visas på en gammal biljett kanske inte längre är den delegerade värden. RFC 1034 , avsnitt 4.2.1–4.2.2.
Förbered en lista med auktoritativa servernamn och deras adresser och fråga sedan de relevanta servrarna direkt. Spara vilken adress som kontaktades. Om olika myndigheter returnerar olika uppgifter, undersök först problemet med DNS publicering eller zonbetjäning. En resolver kan legitimt stöta på vilken tillgänglig auktoritet som helst; Att välja servern med det önskade svaret löser inte inkonsekvensen.
Ett spår kan hjälpa till att inspektera delegationsvägen, men det är en separat observation. Den återger inte en mottagares cachade sökväg, vidarebefordran konfiguration, källnätverk eller DNSSEC valideringsbeteende. Märk ett spår som ett spår i stället för att presentera det som e-postleverantörens frågehistorik.
Tolka flaggor med deras gränser
AA-flaggan identifierar ett auktoritativt svar i DNS svaret. RD registrerar att rekursion begärdes; RA annonserar tillgänglighet för rekursion. RD och RA bevisar inte att servern gjorde en ny sökning efter detta svar. En rekursiv server kan tillfredsställa en begäran från cachen. RFC 1035 , avsnitt 4.1.1.
För en direkt myndighetskontroll, begär ingen rekursion och inspektera det faktiska svaret. Ett svar utan AA, en remiss, AVVISad eller timeout kräver tolkning; serveradressen ensam gör inte varje svar auktoritativt. Där alias förekommer, håll varje ägare och mål synliga och identifiera vilken zon som tillhandahåller den slutliga informationen. Auktoritet över aliasägaren upprättar inte automatiskt auktoritet över sitt mål.
Behåll de fullständiga avsnitten om frågor, svar och behörighet. Ett kommando som endast skriver ut TXT strängar döljer sammanhang som behövs för att skilja gamla cachade data, en hänvisning, ett alias och ett frånvarosvar. Kort utdata är användbart för snabb läsning efter att hela diagnostiken har sparats.
Jämför ett fiktivt par resolverobservationer
Föreställ dig en fiktiv väljare blue._domainkey.example.com. Klockan 10:00 UTC returnerar två relevanta auktoritativa servrar den nyligen avsedda publika nyckelposten. Klockan 10:02 returnerar Resolver A en äldre nyckel med 420 sekunder kvar, medan Resolver B returnerar den nya nyckeln. Dessa tider, resultat och TTL är uppfunna för att illustrera resonemang; inga nätverksmätningar gjordes.
Det mönstret stämmer överens med olika cachehistorik, men observationen ensam bevisar inte orsaken. Kontrollera att alla frågor använde samma namn, typ och klass, att serverns slutpunkter registrerades och att ingen delad vy eller vidarebefordringspolicy ändrade svaret. Om Resolver A senare uppdateras från en inkonsekvent auktoritet, kanske bara väntan inte löser problemet.
I det föreslagna incidentmeddelandet skulle det stå: "Samplade myndigheter är överens om den nya nyckeln; Resolver A returnerar fortfarande den gamla nyckeln; mottagarens resultat har ännu inte observerats." Det skulle inte ange att varje mottagare är uppdaterad eller att autentiseringen nu godkänns. Behåll den äldre publika nyckelns tillgänglighet och avsändarens signeringsövergång under en samordnad rotationsplan istället för att ta bort poster för att få en uppslagsskärm att se snygg ut.
Separera dataproblem från nåbarhetsproblem
En rekursiv SERVFAIL fastställer inte det ett rekord är frånvarande. En myndighet kan vara otillgänglig, en delegering kan misslyckas eller DNSSEC validering kan hindra resolvern från att acceptera svaret. Ett direkt svar från en server begränsar undersökningen men bevisar inte att alla beroenden är sunda för den rekursiva resolvern.
Transporter spelar också roll. DNS kräver TCP-stöd, och ett trunkerat UDP-svar kan kräva ett nytt TCP-försök. Jämför ett förslag dig @AUTH_IP blue._domainkey.example.com . TXT +norecurse med samma fråga med hjälp av +tcp när transport är inblandad. Ändra inte brandvägg eller säkerhetsinställningar bara för att få testet att bli godkänt; Låt den ansvariga operatören granska den diagnostiserade vägen. RFC 7766 , avsnitt 5–6.
Gör jämförelsen reproducerbar
Använd en kalkylbladsrad per fråga: UTC-tidsstämpel, operatörsplats, serverslutpunkt, rekursionsval, ägare, typ, klass, svarskod, flaggor, poster, TTL:er och transport. Upprepa valda observationer med ett dokumenterat intervall och bevara de tidigare raderna. DNS cachar utvecklas, så att skriva över det första resultatet tar bort användbara tidsbevis.
Avsluta med ett kontrollerat meddelande genom den berörda avsändaren och behåll identiteterna och betrodda mottagarresultat. DNS jämförelse kan förklara ett beroende; den kan inte visa inkorgens placering eller en viss mottagares interna uppslag. Den här artikeln tillhandahåller ett föreslaget arbetsflöde och en fiktiv jämförelse. Originaltidsstämplade auktoritativa och rekursiva svar kvarstår innan dess katalogbevisport kan stängas.