Perché un dominio si risolve in modo diverso su reti diverse

È una fonte frequente di confusione: cerchi un dominio dalla rete dell'ufficio e ottieni un indirizzo IP, poi controlli lo stesso dominio dalla connessione cellulare del telefono e ne ottieni uno completamente diverso. Entrambi possono essere del tutto corretti nello stesso momento.

Routing geografico e basato sul carico

I siti di grandi dimensioni e le CDN rispondono spesso alle query DNS in modo diverso a seconda del luogo da cui sembra provenire la query, per instradare ogni visitatore verso il server più vicino o meno carico. Un resolver in una regione viene indirizzato a un edge server vicino; un resolver in un'altra regione, o anche solo di un ISP diverso con peering di rete differente, viene indirizzato a un altro. Nessuna delle due risposte è «sbagliata»: sono entrambe valide e ottimizzate per un diverso punto di osservazione.

La cache aggiunge un secondo livello di variabilità

Oltre al geo-routing, ogni resolver mette in cache le risposte in modo indipendente per la durata del TTL del record. Il resolver del tuo ISP di casa potrebbe aver memorizzato una risposta tre minuti fa; il resolver dell'operatore del tuo telefono potrebbe chiederla di nuovo in questo momento. Finché entrambe le cache non scadono e si aggiornano naturalmente, lo stesso dominio può legittimamente mostrare due risposte diverse (e al momento entrambe valide).

• È normale e previsto per qualsiasi dominio dietro una CDN o un servizio con load balancing globale.
• Diventa un problema vero solo quando una delle risposte è effettivamente irraggiungibile o non funzionante, non semplicemente diversa.
• Se ti serve una risposta unica e confrontabile per scopi di audit, interroga ogni volta da un punto di osservazione coerente (lo stesso strumento, la stessa rete) invece di confrontare lookup eseguiti da posizioni diverse.

Quando vuoi confermare in generale a cosa si risolve un dominio, per un controllo di sicurezza, la verifica di una migrazione o un monitoraggio generico, risolvere direttamente tramite un resolver pubblico fisso e ben noto (invece di quello configurato sul dispositivo che capita di avere a portata di mano) ti dà una base di riferimento coerente e confrontabile, senza inseguire le variazioni da rete a rete.

Una terza causa, voluta: lo split-horizon DNS

Geo-routing e caching sono entrambi accidentali: nessuno ha deciso di far differire la risposta, è solo un effetto collaterale della scala. Lo split-horizon (o «split-view») DNS è diverso: un'organizzazione configura i propri nameserver in modo che restituiscano una risposta alle query provenienti dall'interno della propria rete aziendale e un'altra a tutti gli altri, di proposito. L'hostname di una intranet solo interna può risolversi in un indirizzo privato sul Wi-Fi dell'ufficio e in nulla, oppure in una landing page pubblica, dall'esterno. Se un dominio si risolve senza problemi su un portatile aziendale collegato alla VPN dell'ufficio ma non da casa, lo split-horizon DNS (non un bug) è una spiegazione davvero comune, soprattutto nelle organizzazioni più grandi.

Distinguere rapidamente le tre cause

Nella pratica, il modo più rapido per distinguerle è verificare se la differenza è legata all'identità della rete o al tempo. Se due lookup da due reti diverse discordano adesso, e ricontrollando ciascuno dalla stessa rete un minuto dopo si ottiene di nuovo lo stesso risultato, si tratta di geo-routing o split-horizon, qualcosa legato al luogo da cui proviene la query. Se invece la risposta di una singola rete cambia da sola tra due lookup a distanza di minuti, senza nient'altro di diverso, è la cache che si sta allineando a una modifica reale e recente. La distinzione conta perché solo una di queste tre situazioni, una risposta inattesa e irraggiungibile, merita davvero di essere trattata come un incidente.