Qu'est-ce qu'un serveur DNS ? Résolveur et serveur de noms

Un serveur DNS est un logiciel qui répond aux questions sur les noms dans le système de noms de domaine (DNS), mais l'expression recouvre plusieurs rôles. Un résolveur récursif accepte une requête d'un appareil et trouve une réponse, souvent à partir de données en cache ou en interrogeant d'autres serveurs. Un serveur de noms faisant autorité publie les enregistrements d'une zone DNS particulière et fournit les données sources des noms de cette zone. Ces systèmes coopèrent, mais ils ne sont pas interchangeables. Savoir lequel vous interrogez aide à comprendre pourquoi un serveur DNS peut renvoyer des données en cache alors qu'un autre montre ce que le propriétaire du domaine a configuré le plus récemment.

Le résolveur récursif est l'assistant du client

La plupart des ordinateurs portables et des téléphones sont configurés pour interroger un résolveur récursif exploité par un fournisseur d'accès, une entreprise, un routeur ou un service DNS public. Lorsqu'il reçoit une question pour un nom qu'il n'a pas déjà en cache, le résolveur suit la chaîne de délégation DNS, en interrogeant au besoin les serveurs racine, ceux du domaine de premier niveau (TLD) et ceux faisant autorité. Il renvoie la réponse finale au client et la stocke temporairement selon les règles de TTL. Cette mise en cache réduit le travail répété et accélère la navigation ordinaire. Elle signifie aussi que la vue du résolveur peut accuser un retard sur un changement récent côté serveur faisant autorité, jusqu'à l'expiration des informations en cache concernées.

Un serveur de noms faisant autorité répond à partir des données de zone qu'il sert. Les propriétaires de domaine configurent généralement les serveurs faisant autorité via un fournisseur DNS, tandis que les paramètres du registraire déterminent quels serveurs de noms sont délégués pour le domaine. Un résolveur récursif ne peut atteindre l'autorité voulue que si la chaîne de délégation est correcte. Si vous modifiez des enregistrements dans le tableau de bord d'un fournisseur qui ne fait en réalité pas autorité pour le domaine, les utilisateurs publics risquent de ne jamais voir ces modifications. C'est pourquoi vérifier les enregistrements NS est une première étape utile quand une mise à jour DNS semble sans effet : cela confirme quel fournisseur est chargé de répondre publiquement.

Pourquoi deux serveurs DNS peuvent donner des réponses différentes

Des réponses différentes peuvent provenir du moment du cache, du DNS à horizon partagé (split-horizon), du routage géographique, de la répartition de charge, d'une réplication de zone obsolète ou d'une délégation incorrecte. Les réseaux d'entreprise renvoient parfois volontairement des adresses internes à leurs employés alors que la vue publique renvoie des points de terminaison publics. Les résolveurs récursifs publics peuvent aussi se trouver à des endroits différents et recevoir des réponses sensibles à la région. Un écart est une raison de comparer le chemin de requête, et non immédiatement la preuve qu'un serveur est malveillant ou défaillant. Vérifiez le code de réponse, le nom interrogé, le type d'enregistrement, le TTL et l'adresse du résolveur avant de tirer une conclusion.

• Utilisez un résolveur récursif lorsque vous voulez savoir ce qu'un client ordinaire va probablement recevoir.
• Interrogez les serveurs faisant autorité pour vérifier les données de zone actuellement publiées.
• Vérifiez la délégation et les enregistrements NS si les changements effectués dans un panneau de contrôle ne sont pas visibles.
• Comparez les TTL et les horodatages avant de présumer qu'une ancienne réponse en cache est permanente.
• Gardez privés vos noms DNS internes ; ne soumettez pas de noms d'hôte confidentiels à des outils de vérification publics.

Une méthode pratique pour cerner un problème

Lors d'un dépannage, commencez par une requête récursive normale depuis le réseau concerné et notez la réponse. Comparez-la ensuite à celle d'un résolveur public de confiance et, si nécessaire, à celle des serveurs de noms faisant autorité du domaine. Si l'autorité est correcte mais qu'une réponse récursive est ancienne, la mise en cache est une explication plausible. Si l'autorité elle-même est erronée, examinez la zone et le compte du fournisseur. Si différents serveurs faisant autorité ne concordent pas, le fournisseur n'a peut-être pas synchronisé la zone, ou la délégation pointe vers des serveurs inattendus. Cette comparaison par couches isole souvent la panne sans modifier les enregistrements à répétition ni vider tous les caches.

Pour une explication de base de la façon dont un domaine devient une adresse, voyez comment fonctionne le DNS. Si vous voulez inspecter des adresses publiques, l'outil de recherche de domaine interroge le DNS public. C'est différent d'un audit complet faisant autorité, et aucune de ces deux opérations ne vérifie si un serveur accepte le trafic applicatif. Comprendre la distinction entre résolveur et autorité rend les réponses DNS plus faciles à interpréter et vous aide à choisir la prochaine étape de diagnostic sur la base de preuves plutôt que d'hypothèses.

Choisir un résolveur pour une tâche précise

Pour la navigation ordinaire, le résolveur configuré par un réseau fournit souvent le filtrage, les noms internes et le comportement de support attendus. Pour une vérification publique indépendante, un résolveur récursif public bien documenté peut offrir une comparaison utile, mais sa réponse peut différer en raison du cache, de sa politique ou de son emplacement. Pour confirmer votre propre zone, interrogez ses serveurs faisant autorité plutôt que de modifier les paramètres de l'appareil d'un utilisateur. Les équipes en entreprise devraient documenter le chemin de résolveur approuvé et les éventuelles règles de transfert conditionnel, car un service public ne connaîtra pas les données d'une zone privée. Gardez ces objectifs distincts : le résolveur qui représente le mieux l'expérience d'un utilisateur final n'est peut-être pas le meilleur outil pour vérifier une publication faisant autorité toute fraîche. Consigner le résolveur avec chaque résultat aide à expliquer plus tard pourquoi un autre membre de l'équipe a vu des réponses différentes depuis un autre réseau.