Распространение DNS: почему ждать приходится так долго

Вы обновили запись A. Новый сайт открывается на телефоне, но не на ноутбуке. Коллега в другом конце страны всё ещё видит старый. Кто-то советует вам «дождаться распространения».

Эта фраза вводит в заблуждение, и вера в неё только усложняет понимание проблемы. Ничто не распространяется. Никакие данные никуда не рассылаются.

Что происходит на самом деле

Когда резолвер ищет ваш домен, он сохраняет ответ вместе с TTL, то есть обратным отсчётом в секундах. Пока отсчёт не дойдёт до нуля, резолвер отвечает из памяти и больше не обращается к вашему серверу имён.

Итак, когда вы меняете запись:

1. Ваш авторитативный сервер имён обновляется немедленно. Теперь он отдаёт новое значение всем, кто спрашивает.
2. Каждый резолвер, закешировавший старое значение, продолжает его отдавать, пока не истечёт его собственный отсчёт.
3. Эти отсчёты начались в разные моменты, когда каждый резолвер впервые получил запись, поэтому истекают в разное время.
4. По мере истечения каждого из них соответствующий резолвер получает новое значение. Его пользователи переключаются именно в этот момент.

Растянутый по времени результат и выглядит как «распространение» изменения. На деле это просто множество независимых таймеров, которые один за другим заканчивают отсчёт.

Сколько на самом деле нужно ждать

Максимальное ожидание равно TTL, который был у записи до изменения. Именно эта деталь делает распространение предсказуемым.

Как правильно спланировать изменение DNS

1. 1

   За день до изменения: уменьшите TTL

   Измените TTL на 300 секунд и больше ничего не трогайте. Подождите как минимум столько же, сколько составлял прежний TTL, чтобы все кеши получили более короткое значение.

2. 2

   Убедитесь, что низкий TTL действует

   Выполните dig example.com и посмотрите TTL в разделе ответа. Когда отсчёт идёт от 300, а не от 3600, все резолверы работают с коротким таймером.

3. 3

   Внесите само изменение

   Обновите запись. Теперь максимальное ожидание для всех составит пять минут вместо часа.

4. 4

   Проверьте из нескольких точек наблюдения

   Запросите напрямую несколько публичных резолверов: это независимые кеши, и они дают реальную выборку того, что видят разные пользователи.

5. 5

   Верните TTL обратно

   Когда трафик устоялся на новом значении, верните TTL на 3600 или выше. Низкий TTL означает больше запросов и чуть более медленные проверки для всех.

Проверяем, что видят разные резолверы

dig +short example.com @1.1.1.1
dig +short example.com @8.8.8.8
dig +short example.com @9.9.9.9

dig +short example.com @ns1.example.com

Последняя команда самая важная. Если авторитативный сервер возвращает новое значение, ваше изменение корректно и полностью применено. Всё остальное — ожидание, а не исправление. Если он возвращает старое значение, изменение не сохранилось или вы отредактировали запись у провайдера, на которого ваш домен не делегирован.

Почему на разных устройствах картина разная

Между вами и ответом не один кеш, а несколько, и у каждого свой таймер:

• Ваш браузер хранит небольшой внутренний DNS-кеш.
• Ваша операционная система хранит собственный кеш независимо от браузера.
• Ваш роутер часто кеширует ответы для всех устройств в доме.
• Резолвер вашего провайдера кеширует ответы потенциально для миллионов пользователей.
• Корпоративные резолверы и резолверы VPN добавляют ещё один уровень в управляемых сетях.

Ваш телефон в мобильной сети использует совершенно другую цепочку резолверов, чем ноутбук в домашнем Wi-Fi, и именно поэтому один показывает новый сайт, а другой нет. Уровни, которыми вы управляете, можно очистить: см. как очистить DNS-кеш.