Como o DNS funciona: de um nome de domínio a um endereço IP

Digite example.com em um navegador e uma página aparece quase instantaneamente. Entre esses dois momentos, um banco de dados distribuído que abrange o planeta inteiro respondeu a uma pergunta: qual endereço IP pertence a este nome? Esse sistema é o DNS, o Domain Name System (Sistema de Nomes de Domínio).

Vale entendê-lo direito, porque quase todo problema confuso de site — uma alteração que não entrou em vigor, e-mails que somem, um site que funciona em um dispositivo mas não em outro — tem origem em como a resolução e o cache de DNS realmente se comportam.

Os quatro participantes

• O stub resolver — o pequeno cliente DNS embutido no seu sistema operacional. Ele sabe quase nada e delega imediatamente.
• O resolvedor recursivo — geralmente operado pelo seu provedor de internet, ou um público como 1.1.1.1 ou 8.8.8.8. É o trabalhador que corre atrás da resposta e a guarda em cache.
• Servidores raiz e TLD — eles não sabem a resposta, mas sabem quem sabe. A raiz aponta para .com; os servidores TLD de .com apontam para os servidores de nomes do próprio domínio.
• Servidores de nomes autoritativos — os servidores que guardam os registros reais do domínio. O que eles disserem é, por definição, a verdade.

Uma consulta, passo a passo

1. 1

   Verifique primeiro os caches locais

   O navegador tem seu próprio cache de DNS, e o sistema operacional também. Se qualquer um deles guardar uma resposta ainda válida para example.com, a consulta termina em microssegundos e nenhum tráfego de rede acontece.

2. 2

   Pergunte ao resolvedor recursivo

   Se não houver nada em cache, o stub resolver envia a consulta ao resolvedor recursivo configurado — um pacote UDP, normalmente na porta 53.

3. 3

   O resolvedor pergunta a um servidor raiz

   Se o resolvedor não tem nada em cache, ele começa pelo topo. O servidor raiz não conhece example.com, mas responde: aqui estão os servidores de nomes de .com.

4. 4

   O resolvedor pergunta aos servidores TLD

   Os servidores de .com respondem com uma referência: os servidores de nomes autoritativos de example.com são estes. Ainda não é a resposta — é mais um ponteiro.

5. 5

   O resolvedor pergunta ao servidor de nomes autoritativo

   Este tem o arquivo de zona de verdade. Ele retorna o registro A: 93.184.216.34, junto com um TTL que informa por quanto tempo a resposta pode ser reutilizada.

6. 6

   A resposta é guardada em cache e devolvida

   O resolvedor guarda o resultado em cache pelo tempo do TTL e o entrega ao seu sistema operacional, que o entrega ao navegador. Só agora a conexão TCP com o servidor pode começar.

Recursivo versus autoritativo: a distinção que importa

As pessoas misturam esses dois conceitos o tempo todo, e isso causa erros reais de diagnóstico.

A consequência prática: quando você altera um registro DNS, o servidor autoritativo é atualizado instantaneamente. Todo resolvedor recursivo do mundo continua servindo sua cópia em cache até o TTL expirar. Essa diferença é o que as pessoas chamam de propagação de DNS.

O que um resolvedor realmente retorna

Uma resposta é mais do que um endereço. Ela traz um tipo de registro, um valor e um TTL — além de flags que indicam se a resposta foi autoritativa ou servida do cache. Um único domínio publica vários tipos de registro ao mesmo tempo: A e AAAA para endereços, MX para o roteamento de e-mail, NS para seus servidores de nomes e TXT para verificação e políticas.

example.com.    3600    IN    A        93.184.216.34
example.com.    3600    IN    AAAA     2606:2800:220:1::248
example.com.    3600    IN    MX       10 mail.example.com.
example.com.   86400    IN    NS       ns1.example.com.

O número depois do nome é o TTL em segundos. IN indica a classe internet. O restante é o tipo de registro e seu valor.

Onde o DNS dá errado na prática

• A alteração não propagou. O servidor autoritativo está correto; um cache entre você e ele não está. Não há nada a corrigir — só a esperar.
• Os servidores de nomes apontam para o provedor errado. Você editou os registros no registrador, mas o domínio delega para os servidores de nomes da sua hospedagem, então as edições são ignoradas.
• Falta do ponto final. Em um arquivo de zona, mail.example.com sem o ponto final pode ser interpretado em relação à zona, resultando em mail.example.com.example.com.
• Sem registro AAAA, mas com clientes apenas IPv6. O site fica inacessível para eles, enquanto funciona perfeitamente para todos os outros.

Você pode ver todos esses registros de qualquer domínio com a ferramenta de consulta da página inicial — ela os consulta de forma independente, então um domínio sem um dos tipos ainda mostra os demais.