O que é um servidor DNS? Resolvedor e servidor de nomes

Um servidor DNS é um software que responde a perguntas sobre nomes no Sistema de Nomes de Domínio, mas a expressão abrange vários papéis. Um resolvedor recursivo recebe a consulta de um dispositivo e encontra uma resposta, muitas vezes usando dados em cache ou perguntando a outros servidores. Um servidor de nomes autoritativo publica os registros de uma zona DNS específica e fornece os dados de origem dos nomes dessa zona. Esses sistemas cooperam, mas não são intercambiáveis. Saber qual deles você está consultando ajuda a explicar por que um servidor DNS pode retornar dados em cache enquanto outro mostra o que o dono do domínio configurou mais recentemente.

O resolvedor recursivo é o ajudante do cliente

A maioria dos notebooks e celulares está configurada para perguntar a um resolvedor recursivo operado por um provedor de internet, uma empresa, um roteador ou um serviço de DNS público. Quando recebe uma pergunta sobre um nome que ainda não está em cache, o resolvedor segue a cadeia de delegação do DNS, consultando os servidores raiz, de domínio de nível superior e autoritativos, conforme necessário. Ele devolve a resposta final ao cliente e a armazena temporariamente de acordo com as regras de TTL. Esse cache reduz o trabalho repetido e torna a navegação comum mais rápida. Também significa que a visão do resolvedor pode ficar atrás de uma mudança autoritativa recente até que as informações em cache expirem.

Um servidor de nomes autoritativo responde a partir dos dados da zona que ele serve. Os donos de domínio costumam configurar os servidores autoritativos por meio de um provedor de DNS, enquanto as configurações do registrador determinam quais servidores de nomes são delegados para o domínio. Um resolvedor recursivo só consegue chegar à autoridade pretendida se a cadeia de delegação estiver correta. Se você atualiza registros no painel de um provedor que não é de fato autoritativo para o domínio, os usuários públicos podem nunca ver essas edições. É por isso que conferir os registros NS é um bom primeiro passo quando uma atualização de DNS parece não ter efeito: isso confirma qual provedor é responsável por responder publicamente.

Por que dois servidores DNS podem dar respostas diferentes

Respostas diferentes podem ter como causa o momento do cache, o DNS split-horizon, o roteamento geográfico, o balanceamento de carga, a replicação desatualizada da zona ou uma delegação incorreta. Redes corporativas às vezes retornam de propósito endereços internos aos funcionários, enquanto a visão pública retorna endpoints públicos. Resolvedores recursivos públicos também podem estar em locais diferentes e receber respostas sensíveis à região. Uma discrepância é um motivo para comparar o caminho da consulta, e não uma evidência imediata de que um servidor é malicioso ou está com defeito. Verifique o código de resposta, o nome consultado, o tipo de registro, o TTL e o endereço do resolvedor antes de chegar a uma conclusão.

• Use um resolvedor recursivo quando quiser saber o que um cliente comum provavelmente receberá.
• Consulte os servidores autoritativos ao verificar os dados da zona que estão sendo publicados no momento.
• Verifique a delegação e os registros NS se as mudanças feitas em um painel de controle não estiverem visíveis.
• Compare TTLs e horários antes de presumir que uma resposta antiga em cache é permanente.
• Mantenha privados os nomes de DNS internos; não envie nomes de host confidenciais a verificadores públicos.

Uma forma prática de delimitar um problema

Ao solucionar um problema, comece com uma consulta recursiva normal a partir da rede afetada e anote a resposta. Depois, compare-a com um resolvedor público confiável e, se necessário, com os servidores de nomes autoritativos do domínio. Se a autoridade estiver correta, mas a resposta recursiva for antiga, o cache é uma explicação plausível. Se a própria autoridade estiver errada, inspecione a zona e a conta do provedor. Se diferentes servidores autoritativos divergirem, o provedor pode não ter sincronizado a zona, ou a delegação pode apontar para servidores inesperados. Essa comparação em camadas costuma isolar a falha sem precisar alterar registros repetidamente nem limpar todos os caches.

Para uma explicação básica de como um domínio se transforma em um endereço, veja como o DNS funciona. Se quiser inspecionar endereços públicos, a ferramenta de consulta de domínio consulta o DNS público. Isso é diferente de uma auditoria autoritativa completa, e nenhuma das duas operações verifica se um servidor aceita o tráfego da aplicação. Entender a distinção entre resolvedor e autoridade facilita a interpretação das respostas de DNS e ajuda a escolher a próxima etapa de diagnóstico com base em evidências, e não em suposições.

Escolhendo um resolvedor para uma tarefa específica

Na navegação comum, o resolvedor configurado por uma rede costuma oferecer a filtragem, os nomes internos e o comportamento de suporte pretendidos. Para uma verificação pública independente, um resolvedor recursivo público bem documentado pode fornecer uma comparação útil, mas a resposta dele pode diferir por causa do cache, da política ou da localização. Ao confirmar a sua própria zona, consulte os servidores autoritativos dela, em vez de alterar as configurações do dispositivo de um usuário. As equipes corporativas devem documentar o caminho aprovado de resolvedores e quaisquer regras de encaminhamento condicional, já que um serviço público não conhece os dados de zonas privadas. Mantenha esses objetivos separados: o resolvedor que melhor representa a experiência de um usuário final pode não ser a melhor ferramenta para verificar uma publicação autoritativa recente. Registrar o resolvedor junto com cada resultado ajuda a explicar, mais tarde, por que outro membro da equipe viu respostas diferentes a partir de uma rede diferente.