Cos'è un server DNS? Ruoli di resolver e nameserver

Un server DNS è un software che risponde a domande sui nomi nel Domain Name System, ma l'espressione copre più ruoli. Un resolver ricorsivo accetta una query da un dispositivo e trova una risposta, spesso usando dati in cache o interrogando altri server. Un nameserver autorevole pubblica i record di una particolare zona DNS e fornisce i dati di origine per i nomi di quella zona. Questi sistemi collaborano, ma non sono intercambiabili. Sapere quale dei due stai interrogando aiuta a capire perché un server DNS può restituire dati in cache mentre un altro mostra ciò che il titolare del dominio ha configurato più di recente.

Il resolver ricorsivo è l'aiutante del client

La maggior parte dei portatili e degli smartphone è configurata per interrogare un resolver ricorsivo gestito da un provider Internet, da un'azienda, da un router o da un servizio DNS pubblico. Quando riceve una domanda su un nome non ancora in cache, il resolver segue la catena di delega DNS, interrogando all'occorrenza i server root, quelli del dominio di primo livello e quelli autorevoli. Restituisce la risposta finale al client e la memorizza temporaneamente secondo le regole del TTL. Questa cache riduce il lavoro ripetuto e rende più veloce la navigazione ordinaria. Significa anche che la vista del resolver può restare indietro rispetto a una recente modifica autorevole finché le informazioni in cache non scadono.

Un nameserver autorevole risponde in base ai dati della zona che serve. I titolari dei domini configurano di solito i server autorevoli tramite un provider DNS, mentre le impostazioni del registrar determinano quali nameserver sono delegati per il dominio. Un resolver ricorsivo può raggiungere l'autorità prevista solo se la catena di delega è corretta. Se aggiorni i record nella dashboard di un provider che in realtà non è autorevole per il dominio, gli utenti pubblici potrebbero non vedere mai quelle modifiche. Per questo controllare i record NS è un buon primo passo quando un aggiornamento DNS sembra non avere effetto: conferma quale provider è responsabile di rispondere pubblicamente.

Perché due server DNS possono dare risposte diverse

Risposte diverse possono dipendere dai tempi della cache, dallo split-horizon DNS, dal routing geografico, dal load balancing, da una replica della zona non aggiornata o da una delega errata. Le reti aziendali a volte restituiscono di proposito indirizzi interni ai dipendenti mentre la vista pubblica restituisce endpoint pubblici. Anche i resolver ricorsivi pubblici possono trovarsi in luoghi diversi e ricevere risposte sensibili alla regione. Una discrepanza è un motivo per confrontare il percorso della query, non la prova immediata che un server sia malevolo o guasto. Controlla codice di risposta, nome interrogato, tipo di record, TTL e indirizzo del resolver prima di trarre una conclusione.

• Usa un resolver ricorsivo quando vuoi sapere cosa riceverà probabilmente un client ordinario.
• Interroga i server autorevoli quando verifichi i dati di zona attualmente pubblicati.
• Controlla la delega e i record NS se le modifiche fatte in un pannello di controllo non sono visibili.
• Confronta TTL e timestamp prima di dare per scontato che una vecchia risposta in cache sia permanente.
• Tieni riservati i nomi DNS interni: non inviare hostname riservati a checker pubblici.

Un metodo pratico per restringere il campo

Quando fai troubleshooting, inizia con una normale query ricorsiva dalla rete interessata e annota la risposta. Poi confrontala con un resolver pubblico affidabile e, se necessario, con i nameserver autorevoli del dominio. Se l'autorità è corretta ma una risposta ricorsiva è vecchia, la cache è una spiegazione plausibile. Se è sbagliata l'autorità stessa, ispeziona la zona e l'account presso il provider. Se server autorevoli diversi non concordano, il provider potrebbe non aver sincronizzato la zona, oppure la delega potrebbe puntare a server inattesi. Questo confronto a più livelli spesso isola il guasto senza modificare ripetutamente i record né svuotare ogni cache.

Per una spiegazione di base di come un dominio diventa un indirizzo, vedi come funziona il DNS. Se vuoi ispezionare gli indirizzi pubblici, lo strumento di lookup dei domini interroga il DNS pubblico. È diverso da un audit autorevole completo, e nessuna delle due operazioni verifica se un server accetta traffico applicativo. Capire la distinzione tra resolver e autorità rende più facile interpretare le risposte DNS e ti aiuta a scegliere il passo diagnostico successivo sulla base di evidenze e non di supposizioni.

Scegliere un resolver per un compito specifico

Per la navigazione ordinaria, il resolver configurato da una rete offre spesso il filtraggio, i nomi interni e il comportamento di supporto previsti. Per un controllo pubblico indipendente, un resolver ricorsivo pubblico ben documentato può fornire un utile confronto, ma la sua risposta può differire per via di cache, policy o posizione. Quando confermi la tua zona, interroga i suoi server autorevoli invece di cambiare le impostazioni del dispositivo di un utente. I team aziendali dovrebbero documentare il percorso approvato dei resolver e le eventuali regole di conditional forwarding, perché un servizio pubblico non conosce i dati delle zone private. Tieni separati questi obiettivi: il resolver che rappresenta meglio l'esperienza di un utente finale può non essere lo strumento migliore per verificare una pubblicazione autorevole appena avvenuta. Annotare il resolver insieme a ogni risultato aiuta a spiegare in seguito perché un altro membro del team ha visto risposte diverse da una rete diversa.