Por que meu domínio resolve diferente em cada rede?

É uma fonte comum de confusão: você consulta um domínio a partir da rede do escritório e recebe um endereço IP, depois verifica o mesmo domínio na conexão celular do seu telefone e recebe um completamente diferente. Os dois podem estar totalmente corretos ao mesmo tempo.

Roteamento geográfico e baseado em carga

Sites grandes e CDNs costumam responder às consultas DNS de forma diferente conforme o local de onde a consulta parece vir, para direcionar cada visitante ao servidor mais próximo ou menos carregado. Um resolvedor em uma região é apontado para um servidor de borda próximo; um resolvedor em outra região, ou até apenas de outro provedor de internet com peering de rede diferente, é apontado para outro. Nenhuma das respostas está “errada”: ambas são válidas e otimizadas para um ponto de observação diferente.

O cache acrescenta uma segunda camada de variação

Além do roteamento geográfico, cada resolvedor guarda as respostas em cache de forma independente pelo TTL do registro. O resolvedor do seu provedor de internet doméstico pode ter guardado uma resposta três minutos atrás; o resolvedor da operadora do seu telefone pode estar perguntando do zero agora mesmo. Até que os dois caches expirem e sejam atualizados naturalmente, o mesmo domínio pode legitimamente mostrar duas respostas diferentes (e ambas válidas no momento).

• Isso é normal e esperado em qualquer domínio atrás de uma CDN ou de um serviço com balanceamento de carga global.
• Só se torna um problema real quando uma das respostas está de fato inacessível ou quebrada, e não simplesmente diferente.
• Se você precisa de uma única resposta comparável para fins de auditoria, consulte sempre a partir de um ponto de observação consistente (a mesma ferramenta, a mesma rede), em vez de comparar consultas feitas em locais diferentes.

Quando você quer especificamente confirmar para onde um domínio resolve de forma geral, seja para uma verificação de segurança, a validação de uma migração ou um monitoramento geral, resolver diretamente em um resolvedor público fixo e conhecido (em vez de usar o que estiver configurado no dispositivo que estiver à mão) dá a você uma referência consistente e comparável, em vez de perseguir a variação de cada rede.

Uma terceira causa, deliberada: o DNS split-horizon

O roteamento geográfico e o cache são ambos incidentais: ninguém quis fazer a resposta diferir, é apenas um efeito colateral da escala. O DNS split-horizon (ou “split-view”) é diferente: uma organização configura seus servidores de nomes para devolver uma resposta às consultas que chegam de dentro da própria rede corporativa e outra a todos os demais, de propósito. Um nome de host de intranet somente interno pode resolver para um endereço privado no Wi-Fi do escritório e para nada, ou para uma página pública de apresentação, de fora dele. Se um domínio resolve normalmente em um notebook de trabalho conectado à VPN do escritório, mas não de casa, o DNS split-horizon (e não um bug) é uma explicação realmente comum, especialmente em organizações maiores.

Como distinguir os três rapidamente

Na prática, a forma mais rápida de distingui-los é verificar se a diferença está ligada à identidade da rede ou ao tempo. Se duas consultas feitas em duas redes diferentes divergem agora e, ao refazer cada uma na mesma rede um minuto depois, o resultado se repete, trata-se de roteamento geográfico ou de split-horizon, algo ligado a de onde a consulta veio. Se a resposta de uma única rede muda sozinha entre duas consultas feitas com minutos de intervalo, sem mais nada de diferente, trata-se do cache alcançando uma mudança real e recente. A distinção importa porque apenas um dos três casos, uma resposta inesperada e inacessível, merece de fato ser tratado como um incidente.