Propagazione DNS: perché ci vuole tempo e cosa succede

Hai aggiornato un record A. Il nuovo sito si carica sul telefono ma non sul portatile. Un collega dall'altra parte del paese vede ancora quello vecchio. Qualcuno ti dice di «aspettare la propagazione».

Quella frase è fuorviante e crederci rende il problema più difficile da analizzare. Nulla si propaga. Nessun dato viene distribuito da nessuna parte.

Cosa succede davvero

Quando un resolver cerca il tuo dominio, memorizza la risposta insieme a un TTL, un conto alla rovescia in secondi. Finché quel conto alla rovescia non arriva a zero, il resolver risponde dalla memoria e non contatta più il tuo nameserver.

Quindi, quando modifichi un record:

1. Il tuo nameserver autorevole si aggiorna immediatamente. Da quel momento serve il nuovo valore a chiunque lo chieda.
2. Ogni resolver che aveva in cache il vecchio valore continua a servirlo finché non scade il proprio conto alla rovescia.
3. Quei conti alla rovescia sono partiti in momenti diversi, cioè quando ogni resolver ha recuperato il record la prima volta, e quindi scadono in momenti diversi.
4. Quando ciascuno scade, quel resolver recupera il nuovo valore. I suoi utenti passano al nuovo valore proprio in quell'istante.

Il risultato scaglionato è ciò che dà l'impressione di una modifica che «si diffonde». In realtà sono solo tanti timer indipendenti che si esauriscono.

Quanto dura davvero l'attesa

L'attesa massima è il TTL che il record aveva prima della modifica. È questo dettaglio a rendere prevedibile la propagazione.

Il modo giusto di pianificare una modifica DNS

1. 1

   Un giorno prima: abbassa il TTL

   Porta il TTL a 300 secondi e non cambiare nient'altro. Aspetta almeno quanto durava il vecchio TTL, così ogni cache recepisce il valore più breve.

2. 2

   Conferma che il TTL basso sia attivo

   Esegui dig example.com e controlla il TTL nella sezione della risposta. Quando il conto alla rovescia parte da 300 invece che da 3600, ogni resolver è sul timer breve.

3. 3

   Esegui la modifica vera e propria

   Aggiorna il record. Ora l'attesa massima per chiunque è di cinque minuti invece di un'ora.

4. 4

   Verifica da più punti di osservazione

   Interroga direttamente diversi resolver pubblici: sono cache indipendenti e ti offrono un campione reale di ciò che vedono utenti diversi.

5. 5

   Rialza il TTL

   Quando il traffico si è assestato sul nuovo valore, riporta il TTL a 3600 o più. TTL bassi significano più query e lookup leggermente più lenti per tutti.

Controllare cosa vedono i diversi resolver

dig +short example.com @1.1.1.1
dig +short example.com @8.8.8.8
dig +short example.com @9.9.9.9

dig +short example.com @ns1.example.com

Quest'ultimo comando è quello che conta. Se il server autorevole restituisce il nuovo valore, la tua modifica è corretta e completa. Tutto il resto è attesa, non correzione. Se restituisce il vecchio valore, la modifica non è stata salvata, oppure l'hai fatta presso un provider a cui il tuo dominio non è delegato.

Perché appare diverso su dispositivi diversi

Tra te e la risposta non c'è una sola cache: ce ne sono diverse, ciascuna con il proprio timer.

• Il tuo browser mantiene una breve cache DNS interna.
• Il tuo sistema operativo ne mantiene una propria, in modo indipendente.
• Il tuo router spesso fa da cache per tutta la casa.
• Il resolver del tuo ISP fa da cache per potenzialmente milioni di utenti.
• I resolver aziendali o VPN aggiungono un ulteriore livello nelle reti gestite.

Il tuo telefono con i dati mobili usa una catena di resolver completamente diversa da quella del portatile sul wifi di casa, ed è esattamente per questo che uno mostra il nuovo sito e l'altro no. Puoi svuotare i livelli che controlli: vedi come svuotare la cache DNS.