La risoluzione DNS spiegata: dalla query alla risposta

La risoluzione DNS è il processo che trasforma un nome di dominio nei dati di cui un'applicazione ha bisogno, spesso un indirizzo IP. Quando un browser deve connettersi a www.example.com, chiede un risultato allo stack di rete locale. Uno stub resolver di solito inoltra la domanda a un resolver ricorsivo. Quel resolver può già avere una risposta in cache; altrimenti segue i referral DNS fino a raggiungere un server autoritativo per la zona pertinente. La risposta finale torna indietro lungo la catena e può essere messa in cache per un tempo limitato. Il processo è distribuito: nessun server globale conserva l'insieme completo dei record di ogni dominio.

La query parte da un nome e un tipo specifici

Una domanda DNS non è semplicemente «cerca questo sito web». Comprende un nome e un tipo di record. Una query A chiede IPv4; AAAA chiede IPv6; MX chiede dei mail exchanger; NS chiede dei nameserver. Il resolver ricorsivo usa il tipo per decidere quali dati recuperare e restituire. Se il browser ha bisogno di un indirizzo web, può chiedere sia record A sia AAAA, mentre un sistema di posta chiede MX. Chiedere il tipo sbagliato può produrre una risposta vuota anche se per quel nome esistono altri record. I risultati DNS hanno senso solo se la domanda stessa è chiara.

1. Il client controlla la propria cache locale e il resolver configurato.
2. Il resolver ricorsivo controlla la propria cache; se necessario, interroga un root server.
3. Un referral del root indica i server del dominio di primo livello (TLD) pertinenti.
4. Il referral del TLD identifica i nameserver autoritativi del dominio.
5. La risposta autoritativa viene restituita e messa in cache per la durata consentita.

Il resolver ricorsivo svolge gran parte di questo lavoro per conto del client. I referral sono puntatori alla successiva autorità, non necessariamente il record finale. I root server non devono conoscere l'indirizzo di ogni sito web e i server TLD non ospitano la zona completa di ogni singolo dominio. Ogni livello fornisce indicazioni verso il successivo. I server autoritativi contengono i record effettivi configurati dall'operatore del dominio o dal suo provider DNS. Una volta che il resolver li raggiunge, la risposta può contenere un indirizzo, un alias, una risposta negativa o un altro valore specifico del tipo.

Alias, cache e risposte negative

Se un nome ha un CNAME, la risoluzione può passare per un altro hostname prima di trovare un indirizzo. Ogni risposta pertinente ha un proprio comportamento di cache, quindi la catena può includere voci con TTL diversi. Un resolver può anche mettere in cache risultati negativi, come il fatto che un nome interrogato non esiste, per un periodo limitato. Questo può spiegare perché un nuovo nome non compare subito dopo la creazione. Svuotare una cache locale riguarda solo quel dispositivo o quel livello; non cancella le risposte in cache dei resolver ricorsivi indipendenti sparsi per Internet.

Una diagnostica pratica confronta lo stesso nome e tipo a livelli diversi. Un lookup ricorsivo descrive ciò che riceve un client che usa quel resolver. Una query autoritativa aiuta a stabilire cosa pubblica attualmente la zona stessa. Se i valori differiscono, controlla il TTL, l'ora dell'ultima modifica e l'effettiva delega. Se il risultato DNS è corretto ma l'applicazione continua a fallire, passa a instradamento di rete, TLS o log del server. Questo evita una trappola comune nel troubleshooting: modificare ripetutamente il DNS quando la risoluzione funziona già e il guasto è più avanti lungo il percorso di connessione.

La risoluzione DNS è affidabile proprio perché è stratificata, in cache e delegata, ma queste stesse proprietà fanno apparire incoerenti le modifiche durante una migrazione. Salva la risposta, il tipo di record interrogato, il resolver e il timestamp quando confronti le osservazioni. La guida ai resolver ricorsivi e autoritativi spiega meglio i ruoli, mentre il TTL DNS tratta la durata della cache. Questi concetti offrono un modello più accurato rispetto all'idea che ogni dispositivo legga un unico elenco globale di indirizzi aggiornato all'istante.

La risoluzione è un processo, non una singola lettura di database

Poiché la risoluzione coinvolge più server gestiti in modo indipendente, una risposta DNS può essere influenzata da più del solo record A o AAAA finale. Una delega obsoleta può mandare il resolver all'autorità sbagliata; un server autoritativo non disponibile può causare un timeout; una catena DNSSEC interrotta può indurre un resolver validante a rifiutare i dati; e una risposta negativa in cache può ritardare il riconoscimento di un nome appena creato. Ogni livello lascia prove diverse. Il codice di risposta, la sezione authority, il TTL e il server interrogato possono restringere la causa. Quando raccogli diagnostiche, evita di parafrasare un timeout come «il dominio non esiste», perché cambia il significato. Conserva l'errore esatto e confrontalo con una query autoritativa. Questo metodo stratificato porta a una riparazione specifica invece che a una modifica alla cieca del record di indirizzo.