Domaine résolu différemment selon le réseau : pourquoi ?

C'est une source de confusion courante : vous recherchez un domaine depuis le réseau de votre bureau et obtenez une adresse IP, puis vous vérifiez le même domaine sur la connexion mobile de votre téléphone et en obtenez une complètement différente. Les deux peuvent être parfaitement correctes en même temps.

Routage géographique et fondé sur la charge

Les grands sites et les CDN répondent fréquemment aux requêtes DNS de manière différente selon l'endroit d'où la requête semble provenir, afin d'orienter chaque visiteur vers le serveur le plus proche ou le moins chargé. Un résolveur situé dans une région est dirigé vers un serveur périphérique (edge) voisin ; un résolveur d'une autre région, ou même simplement d'un autre FAI aux interconnexions réseau différentes, est dirigé vers un autre. Aucune des deux réponses n'est « fausse » : toutes deux sont valides et optimisées pour un point d'observation différent.

Le cache ajoute une seconde couche de variance

En plus du géo-routage, chaque résolveur met en cache les réponses indépendamment pendant la durée du TTL de l'enregistrement. Le résolveur de votre FAI domestique a peut-être mis une réponse en cache il y a trois minutes ; celui de l'opérateur mobile de votre téléphone en demande peut-être une toute fraîche à l'instant. Tant que les deux caches n'ont pas naturellement expiré et rafraîchi leurs données, le même domaine peut légitimement afficher deux réponses différentes (et toutes deux actuellement valides).

• C'est normal et attendu pour tout domaine placé derrière un CDN ou un service à répartition de charge mondiale.
• Cela ne devient un vrai problème que lorsque l'une des réponses est réellement injoignable ou défaillante, et pas simplement différente.
• Si vous avez besoin d'une réponse unique et comparable à des fins d'audit, interrogez toujours depuis un point d'observation cohérent (le même outil, le même réseau) plutôt que de comparer des recherches effectuées depuis des emplacements différents.

Lorsque vous cherchez précisément à confirmer ce vers quoi un domaine se résout en général, pour un contrôle de sécurité, une vérification de migration ou une surveillance générale, résoudre directement auprès d'un résolveur public fixe et bien connu (plutôt que celui configuré sur l'appareil qui se trouve sous la main) vous donne une base de référence cohérente et comparable, au lieu de courir après les variations propres à chaque réseau.

Une troisième cause, délibérée : le DNS à horizon partagé

Le géo-routage et le cache sont tous deux accessoires : personne n'a cherché à faire différer la réponse, c'est un simple effet secondaire de l'échelle. Le DNS à horizon partagé (split-horizon, ou « split-view ») est différent : une organisation configure ses serveurs de noms pour renvoyer une réponse aux requêtes issues de son propre réseau d'entreprise, et une réponse différente à tous les autres, volontairement. Un nom d'hôte d'intranet interne peut se résoudre en adresse privée sur le wifi du bureau, et en rien du tout (ou en une page d'accueil publique) depuis l'extérieur. Si un domaine se résout correctement sur un ordinateur professionnel connecté au VPN du bureau mais pas depuis chez vous, le DNS à horizon partagé (et non un bug) est une explication vraiment courante, surtout dans les grandes organisations.

Distinguer rapidement les trois

En pratique, le moyen le plus rapide de les distinguer est de vérifier si la différence est corrélée à l'identité du réseau ou au temps. Si deux recherches depuis deux réseaux différents divergent à l'instant, et que revérifier chacune depuis le même réseau une minute plus tard donne à nouveau le même résultat, il s'agit de géo-routage ou de split-horizon, c'est-à-dire d'un phénomène lié à l'origine de la requête. Si la réponse d'un seul réseau change d'elle-même entre deux recherches espacées de quelques minutes sans que rien d'autre diffère, c'est le cache qui rattrape un changement réel et récent. La distinction compte car une seule de ces trois situations, une réponse inattendue et injoignable, mérite réellement d'être traitée comme un incident.