Come funziona il DNS: da un nome di dominio a un indirizzo IP

Digita example.com in un browser e una pagina appare quasi all'istante. Tra questi due momenti, un database distribuito che copre l'intero pianeta ha risposto a una domanda: quale indirizzo IP appartiene a questo nome? Quel sistema è il DNS, il Domain Name System.

Vale la pena capirlo bene, perché quasi ogni problema confuso di un sito web (una modifica che non ha effetto, email che spariscono, un sito che funziona su un dispositivo ma non su un altro) risale a come si comportano davvero la risoluzione DNS e la cache.

I quattro partecipanti

• Lo stub resolver: il piccolo client DNS integrato nel tuo sistema operativo. Non sa quasi nulla e delega subito.
• Il resolver ricorsivo: di solito gestito dal tuo provider, o uno pubblico come 1.1.1.1 o 8.8.8.8. È il cavallo da tiro che insegue la risposta e la mette in cache.
• Server root e TLD: non conoscono la risposta, ma sanno chi la conosce. Il root rimanda a .com; i server TLD .com rimandano ai nameserver del dominio stesso.
• Nameserver autoritativi: i server che contengono i record reali del dominio. Ciò che dicono è, per definizione, la verità.

Un lookup, passo dopo passo

1. 1

   Prima si controllano le cache locali

   Il browser ha una propria cache DNS, e anche il sistema operativo. Se uno dei due ha una risposta non scaduta per example.com, il lookup finisce in microsecondi e non c'è alcun traffico di rete.

2. 2

   Si interroga il resolver ricorsivo

   In caso di mancanza, lo stub resolver invia la query al resolver ricorsivo configurato: un pacchetto UDP, di solito sulla porta 53.

3. 3

   Il resolver interroga un root server

   Se il resolver non ha nulla in cache, parte dall'alto. Il root server non conosce example.com, ma risponde: ecco i nameserver per .com.

4. 4

   Il resolver interroga i server TLD

   I server .com rispondono con un referral: i nameserver autoritativi per example.com sono questi. Ancora non è la risposta: un altro puntatore.

5. 5

   Il resolver interroga il nameserver autoritativo

   Questo ha il vero file di zona. Restituisce il record A: 93.184.216.34, insieme a un TTL che indica per quanto tempo la risposta può essere riutilizzata.

6. 6

   La risposta viene messa in cache e restituita

   Il resolver mette in cache il risultato per la durata del TTL, lo passa al tuo sistema operativo, che lo passa al browser. Solo ora può iniziare una connessione TCP al server.

Ricorsivo contro autoritativo: la distinzione che conta

Le persone le confondono di continuo, e questo causa veri errori di debug.

La conseguenza pratica: quando modifichi un record DNS, il server autoritativo si aggiorna all'istante. Ogni resolver ricorsivo del mondo continua a servire la propria copia in cache finché il TTL non scade. Quel divario è ciò che le persone chiamano propagazione DNS.

Cosa restituisce davvero un resolver

Una risposta è più di un indirizzo. Contiene un tipo di record, un valore e un TTL, oltre a flag che indicano se la risposta era autoritativa o servita dalla cache. Un singolo dominio pubblica molti tipi di record contemporaneamente: A e AAAA per gli indirizzi, MX per l'instradamento della posta, NS per i suoi nameserver e TXT per verifiche e policy.

example.com.    3600    IN    A        93.184.216.34
example.com.    3600    IN    AAAA     2606:2800:220:1::248
example.com.    3600    IN    MX       10 mail.example.com.
example.com.   86400    IN    NS       ns1.example.com.

Il numero dopo il nome è il TTL in secondi. IN indica la classe Internet. Il resto è il tipo di record e il suo valore.

Dove il DNS va storto nella pratica

• La modifica non si è propagata. Il server autoritativo è corretto; una cache tra te e lui no. Non c'è nulla da riparare, solo da aspettare.
• I nameserver puntano al provider sbagliato. Hai modificato i record presso il registrar, ma il dominio è delegato ai nameserver del tuo hosting, quindi le modifiche vengono ignorate.
• Un punto finale mancante. In un file di zona, mail.example.com senza il punto finale può essere interpretato relativamente alla zona, producendo mail.example.com.example.com.
• Nessun record AAAA ma client solo IPv6. Il sito è irraggiungibile per loro mentre funziona perfettamente per tutti gli altri.

Puoi vedere tutti questi record per qualsiasi dominio con lo strumento di lookup nella homepage: li interroga in modo indipendente, quindi un dominio che manca di un tipo mostra comunque gli altri.