Pourquoi un domaine a plusieurs adresses IP

Cherchez un grand site et vous obtenez souvent trois, quatre ou huit adresses. Recommencez depuis un autre pays et la liste change entièrement. Quatre mécanismes distincts produisent cet effet, et leurs implications sont très différentes.

1. Round-robin DNS

L'approche la plus simple : publier plusieurs enregistrements A pour le même nom. Les résolveurs les renvoient dans un ordre rotatif, de sorte que différents clients essaient d'abord différents serveurs.

example.com.    300    IN    A    93.184.216.34
example.com.    300    IN    A    93.184.216.35
example.com.    300    IN    A    93.184.216.36

Il répartit la charge sans aucune infrastructure. Sa limite est toutefois sévère : le DNS n'effectue aucun contrôle de santé. Si un serveur tombe, son adresse continue d'être distribuée jusqu'à ce qu'un humain supprime l'enregistrement, et environ un tiers des visiteurs rencontrent un échec.

2. Géo-routage (GeoDNS)

Ici, le serveur de noms faisant autorité examine l'origine de la requête et renvoie une réponse adaptée à l'emplacement. Un visiteur en Europe obtient une adresse de Francfort ; un visiteur en Asie obtient Singapour.

C'est pourquoi deux personnes obtiennent légitimement des réponses différentes pour le même domaine au même moment. Aucune n'est périmée ni fausse : le serveur de noms a délibérément donné des réponses différentes.

3. Anycast

L'anycast est le plus élégant des quatre et fonctionne entièrement en dessous du DNS. La même adresse est annoncée depuis de nombreux emplacements à la fois, et le routage d'internet achemine chaque paquet vers l'emplacement le plus proche en termes de réseau.

1.1.1.1 en est l'exemple bien connu : les mêmes quatre nombres partout sur terre, servis par des centaines de centres de données distincts. L'anycast est invisible pour une recherche DNS, ce qui explique précisément son efficacité.

4. Double pile : A et AAAA ensemble

La raison la plus courante et la moins intéressante. Un domaine qui publie à la fois IPv4 et IPv6 renvoie les deux, et le client choisit celle qu'il prend en charge.

example.com.    3600    IN    A       93.184.216.34
example.com.    3600    IN    AAAA    2606:2800:220:1::248

Les clients à double pile préfèrent généralement IPv6 et se rabattent sur IPv4. Voir enregistrements A et AAAA.

Ce que le client fait de la liste

Recevoir plusieurs adresses n'est que la moitié de l'histoire : ce qui se passe ensuite dépend du client, et le comportement moderne est plus malin qu'avant.

Le mécanisme concerné est Happy Eyeballs, défini dans la RFC 8305. Un navigateur qui reçoit à la fois des adresses IPv6 et IPv4 n'essaie pas l'une, n'attend pas un délai d'expiration, puis essaie l'autre. Il démarre une connexion IPv6, attend un court intervalle (typiquement environ 250 millisecondes) et, si elle n'a pas abouti, lance une tentative IPv4 en parallèle. La première qui aboutit l'emporte, et l'autre est abandonnée.

La conséquence pratique est qu'une adresse défaillante dans votre liste dégrade la vitesse au lieu de provoquer un échec pur et simple. C'est un filet de sécurité, pas un permis : une adresse morte coûte toujours à chaque visiteur le délai avant le repli.

Quand le DNS est le mauvais outil

On recourt souvent au round-robin DNS comme répartiteur de charge. Il faut être clair sur ce qu'il ne peut pas faire.

Le bilan honnête : le round-robin DNS répartit la charge de manière acceptable et gère mal les pannes. Si la panne d'un serveur ne doit pas emporter avec elle une part de vos visiteurs, il vous faut un contrôle de santé, ce qui signifie un répartiteur de charge, un fournisseur anycast, ou un service DNS managé qui effectue des contrôles de santé et retire automatiquement les enregistrements défaillants.

Les distinguer

dig +short example.com @1.1.1.1
dig +short example.com @8.8.8.8

Ce que cela implique quand vous recherchez un domaine

Cela change le poids à accorder à une réponse unique.

• Plusieurs adresses sont un signe de bonne santé. Elles indiquent généralement une redondance, pas une mauvaise configuration.
• Votre réponse n'est pas universelle. Avec le géo-routage ou un CDN, quelqu'un d'autre ailleurs voit autre chose, et les deux sont correctes.
• Ne les codez pas en dur. Les adresses tournent, sont remplacées et réaffectées. Résolvez toujours le nom au moment de la connexion.
• L'ordre n'a aucun sens. La rotation est souvent délibérée ; la première adresse n'est pas la principale.

L'outil de recherche liste chaque enregistrement A et AAAA qu'il reçoit au lieu de n'afficher que le premier : vous voyez ainsi d'un coup l'ensemble complet publié, et le mode en masse permet de comparer facilement plusieurs domaines côte à côte.