Проверка DNS: как правильно проверять DNS-записи

Инструмент проверки DNS — удобный способ посмотреть, какие записи резолвер может получить для домена в данный момент. К нему обращаются после смены хостинга сайта, настройки почты, переноса DNS к другому провайдеру или при расследовании имени, которое не разрешается. Результат — это моментальный снимок, а не гарантия того, что все рекурсивные резолверы уже обновились или что сам сервис доступен. Чтобы проверка была полезной, выберите точное имя хоста, подберите тип записи под симптом и отличайте пустой ответ от DNS-ошибки. Эти три шага избавляют от многих ложных тревог и помогают понять, какой уровень конфигурации требует внимания.

Выберите запись, которая отвечает на ваш вопрос

Для IPv4-адреса сайта проверяйте A, для IPv6 — AAAA. Поддомен может использовать CNAME, указывающий на имя хоста провайдера, а не содержать адрес напрямую. Доставка почты в первую очередь зависит от записей MX, а записи TXT часто публикуют SPF, DKIM, DMARC и данные для подтверждения владения. Записи NS показывают, какие серверы имён указаны для зоны, а SOA содержит административные и временные поля, связанные с этой зоной. Поэтому одних A-записей недостаточно, когда проблема в доставке почты, делегированном поддомене или шаге верификации. Начните с затронутого сервиса и сопоставьте симптом с типами записей.

Далее проверьте запрашиваемое имя с точностью до символа. example.com, www.example.com и api.example.com — это разные DNS-имена, и ответы для них могут быть совершенно разными. Завершающая точка в полной записи DNS обозначает корень и в интерфейсах обычно необязательна. Не вставляйте целый URL с путём в расчёте на то, что инструмент сам поймёт, какое имя хоста важно: сначала выделите имя хоста. Если вы проверяете новую запись, сравните возвращённое значение с инструкцией провайдера посимвольно. Политики TXT часто содержат знаки препинания, разделители или длинные строки, где, казалось бы, мелкая опечатка делает запись недействительной.

Поймите, откуда берутся разные ответы

DNS распределён и кешируется. Авторитативный сервер имён хранит опубликованные данные зоны, а рекурсивные резолверы отвечают пользователям и могут кешировать прежние ответы до истечения TTL. Поэтому два инструмента проверки могут какое-то время показывать разные значения, если обращаются к разным резолверам, расположениям или версиям записи. Инструмент, опрашивающий набор расположений, помогает показать расхождения, но не доказывает, что все сети пришли к одному значению. Если результат расходится с задуманной конфигурацией, определите, какой резолвер ответил, и сравните его ответ с авторитативными серверами имён. Затем учтите TTL и время, когда было кешировано прежнее значение, прежде чем вносить следующее изменение.

• NOERROR без запрошенной записи может означать, что имя существует, но данных такого типа у него нет.
• NXDOMAIN означает, что запрошенное имя сообщено как несуществующее.
• SERVFAIL сигнализирует, что резолвер не смог успешно завершить запрос.
• Тайм-аут означает, что ответ не пришёл за время ожидания инструмента.
• Несколько ответов A или AAAA могут быть намеренными: для резервирования или распределения трафика.

Превратите DNS-проверку в безопасный шаг диагностики

Сохраняйте записи «до» и «после» при изменении DNS. Зафиксируйте имя, тип, значение, TTL, резолвер и время, а после обновления повторите тот же запрос. Если авторитативный сервер возвращает новое значение, а один из рекурсивных резолверов — старое, уместно подождать истечения кешей; многократное изменение записи может усложнить диагностику. Если авторитативные серверы расходятся между собой, изучите репликацию зоны или конфигурацию провайдера. Если все DNS-ответы выглядят верно, а сайт по-прежнему не работает, переходите к проверке подключения, TLS, маршрутизации или работоспособности приложения, а не продолжайте вслепую менять DNS.

Наконец, оценивайте ответ в соответствии с его областью действия. Публичные DNS-проверки подходят для доменов и записей, которые должны быть видны в публичном интернете; это не способ исследовать внутреннее пространство имён организации. IP, возвращённый DNS, может принадлежать пограничному узлу CDN, балансировщику нагрузки или обратному прокси, а не машине, на которой размещено приложение. Если вам нужны только публичные адресные ответы, следующим шагом может стать проверка домена в IP: она сосредоточена именно на этом. Термины и примеры по A, AAAA, MX, TXT и NS есть в статье обзор типов DNS-записей.

Читайте отчёт инструмента проверки с разумной долей скепсиса

Инструмент проверки DNS может показывать зелёный индикатор при получении любого ответа, даже если возвращённое значение не то, которое нужно вашему сервису. Читайте исходные данные (имя владельца, тип и значение), а не полагайтесь только на итоговый значок. Ответ из одного расположения — это тоже выборка, а не гарантия глобального согласия. Если инструмент перечисляет много расположений, помните, что каждое из них может отражать конкретный резолвер и состояние его кеша, а не всех пользователей в этом регионе. Используйте отчёт, чтобы выбрать следующий диагностический шаг: сравнить с авторитативными данными, проверить TTL или протестировать сам сервис. Не копируйте IP в продакшен-конфигурацию, не убедившись, что это поддерживаемая точка входа провайдера. Хорошая диагностика основана на ожидаемом значении и на причине этого ожидания, а не просто на том, назвал ли инструмент результат «валидным».