Конвертер домена в IP: что он на самом деле делает

Конвертер домена в IP звучит так, будто он раскрывает нечто скрытое, словно вырывает у сайта секретный адрес. На самом деле он делает нечто куда более обыденное: выполняет DNS-запрос. Когда вы вводите домен в конвертер, инструмент спрашивает у DNS записи A и AAAA этого имени и показывает IP-адреса из ответа. Здесь нет ни особой базы данных, ни привилегированного доступа, и о сайте не раскрывается ничего, что не было бы уже публичным, потому что ответы DNS и задуманы публичными: они нужны каждому браузеру просто для загрузки страницы.

Что на самом деле происходит, когда вы конвертируете домен

Конвертация идёт тем же путём, что и любое другое разрешение DNS, только без вашего браузера. Конвертер отправляет домен рекурсивному резолверу, резолвер проходит цепочку делегирования от корня до авторитетных серверов имён домена, и итоговый ответ, один или несколько адресов IPv4 из записей A и один или несколько адресов IPv6 из записей AAAA, возвращается для показа. Если имя является псевдонимом, резолвер сначала следует записи CNAME к её цели и возвращает адреса этой цели. Весь обмен, как правило, использует те же записи, которые получило бы ваше собственное устройство.

Не менее полезно знать, чего конвертер не делает. Он не сканирует сервер, не проверяет его порты и не тестирует, работает ли сайт. Он не устанавливает личность человека или компанию, стоящую за сайтом, и не хранит истории прошлых ответов, если только сервис не добавляет её отдельно. Конвертер сообщает одну-единственную вещь: что DNS отвечает прямо сейчас. Всё остальное, владелец адреса, регистрация домена, состояние сервера, относится к другим инструментам, созданным для этих вопросов.

Разобранная конвертация, строка за строкой

Уберите дружелюбный интерфейс — и конвертация окажется одним вопросом и одним ответом. Спросите DNS об имени, и необработанный ответ, слегка упрощённый, выглядит так:

example.com.   300   IN   A      203.0.113.18
example.com.   300   IN   AAAA   2001:db8::18

Каждая строка — это запись: имя, к которому она относится, TTL, отсчитывающий время от 300 секунд, и сам адрес, адрес IPv4 в записи A и адрес IPv6 в AAAA. Конвертер показывает немногим больше, чем правый столбец этих строк. Всё остальное в ответе, TTL, типы записей, след любого CNAME, который привёл сюда, — это контекст, который конвертер отбрасывает ради простоты. Обратите внимание, откуда копируется ответ: не с сайта, не с сервера, а из собственной публичной DNS-зоны домена, файла, который существует именно для того, чтобы любой, браузер, конвертер или любопытный незнакомец, мог задать этот вопрос и получить на него ответ.

1. 1

   Введите голое имя домена

   Конвертеры принимают имя домена, а не полный URL и не IP-адрес. Вставьте https://example.com/page, и добротный инструмент обрежет схему и путь; вставьте адрес вроде 192.0.2.44, и он должен отказать, потому что адрес не нуждается в конвертации. Инструменты поиска на этом сайте следуют ровно этому правилу.

2. 2

   Резолвер спрашивает DNS

   Инструмент передаёт имя рекурсивному резолверу, который сначала проверяет свой кэш. При промахе он опрашивает корень, серверы домена верхнего уровня и, наконец, авторитетные серверы имён домена.

3. 3

   Записи возвращаются

   Ответ содержит текущие записи A и AAAA вместе с их значениями TTL, которые говорят, как долго резолверы могут держать их в кэше. Возможен и пустой ответ: некоторые имена публикуют только одно семейство адресов, а поддомены, используемые чисто для почты, могут не публиковать ни одного.

4. 4

   Вы читаете результат

   Конвертер перечисляет полученные адреса. Инструмент DNS-поиска показывает те же ответы вместе с окружающими записями, NS, MX, TXT, которые простой конвертер опускает, и именно там часто находится полезный контекст.

Почему два человека могут получить разные ответы

Пропустите один и тот же домен через конвертер дважды, из двух мест или двумя инструментами, и результаты могут не совпасть. Это не ошибка. DNS разрешено, он даже спроектирован так, отвечать по-разному в зависимости от того, кто спрашивает, откуда и когда. Домен не обязан разрешаться в один фиксированный адрес; крупные сайты публикуют несколько адресов и позволяют слою DNS направлять каждого посетителя к подходящему. Приведённые ниже различия объясняют почти каждое ошибочное сообщение о том, что конвертер вернул неверный адрес.

• Руление CDN. Сеть доставки контента возвращает адрес пограничного сервера рядом с запрашивающим, поэтому посетитель в одной стране и посетитель в другой получают разные адреса для одного имени.
• Балансировка нагрузки. Авторитетный сервер вращает или перемешивает несколько записей A, и разные резолверы выдают разный первый адрес из одного набора.
• Географические ответы. Некоторые операторы публикуют разные записи по регионам, по языковым, юридическим или трафиковым причинам, поэтому ответ зависит от того, где находится резолвер.
• Кэширование. Резолвер, хранящий более старый закэшированный ответ, продолжает отдавать его, пока не истечёт TTL, а резолвер, только что выполнивший запрос, видит новое значение.
• Семейство адресов. Одна сеть может предпочесть ответ AAAA, а другая откатиться на A, поэтому адрес, который устройство реально использует, различается, даже когда наборы записей идентичны.

Anycast добавляет более тонкий поворот: один и тот же IP-адрес может анонсироваться из многих физических мест одновременно. Два человека могут получить идентичный адрес и при этом говорить с разными машинами на разных континентах, потому что маршрутизация доставляет каждого к ближайшему анонсёру. Так что даже точное совпадение двух конвертаций не доказывает, что оба посетителя достигли одного сервера. При anycast совпадающие адреса являются нормой, а не доказательством единственной машины.

Конвертация многих доменов сразу

Одна конвертация отвечает на один вопрос; портфель поднимает сотни. Пакетная конвертация берёт список доменов и разрешает каждый по очереди, создавая таблицу, которую можно экспортировать, как правило в CSV или JSON, вместо страницы разрозненных результатов. Так проверяют, где размещён набор сайтов, находят домены, всё ещё указывающие на выведенный из эксплуатации сервер, или готовят миграцию. Повторение работы по расписанию превращает её в мониторинг: когда ответ меняется, что-то изменилось выше по цепочке. Полная картина, включая плановые проверки, раскрыта в материале поиск IP для доменов.

Конвертер, DNS-запрос, ping: три похожих инструмента

Три знакомых инструмента, кажется, превращают имя в адрес, и их стоит различать, потому что каждый отвечает на немного другой вопрос и каждый отказывает по-своему:

ping заслуживает дополнительного предупреждения, потому что он чаще всего вводит людей в заблуждение. Он разрешает имя через вашу собственную систему, выбирает один адрес из набора и отправляет на него тестовые пакеты. Молчание мало что доказывает: многие серверы настроены так, чтобы никогда не отвечать на пинги, при этом спокойно обслуживая сайты, поэтому мёртвый ping рядом с работающим сайтом — обычное дело, а не противоречие. Используйте каждый инструмент для его собственного вопроса: конвертер — для быстрого адреса, инструмент запроса — для полной картины DNS, а ping — только как грубую проверку доступности, неудачи которой нуждаются во втором мнении.

Почему сконвертированный IP часто не является источником

Адрес, который возвращает конвертер, это адрес, который DNS отдаёт публике, и для многих сайтов это намеренно не та машина, что хостит контент. CDN или обратный прокси публикует собственные адреса, в частном порядке забирает контент с сервера-источника и раздаёт его дальше, поэтому настоящий адрес источника никогда не появляется в DNS. Это экранирование является функцией: оно поглощает трафик и скрывает инфраструктуру. Оно также означает, что конвертация может быть совершенно точной и всё же не показать вам сервер, который вы представляли. Материал почему CDN скрывает IP источника подробно объясняет эту схему.

Ошибки, из-за которых конвертеры выглядят неправыми

• Вставка полного адреса страницы. Путь или строка запроса не является частью имени; хорошие инструменты её отбрасывают, плохие просто отказывают или ищут бессмыслицу.
• Ожидание, что поддомен разделит ответ родительского домена. www, mail и голый домен — это отдельные имена с отдельными записями, и они обычно указывают на совершенно разные адреса.
• Чтение пустого результата AAAA как ошибки. Обычно это означает, что имя вообще не публикует адрес IPv6, а это факт о сайте, а не сбой инструмента.
• Отношение к первому адресу как к тому самому адресу. Когда опубликовано несколько записей, их порядок перемешивается между ответами; ответ — это набор, а не та строка, которая случайно оказалась первой.

Используемый с учётом этих ограничений, конвертер является быстрой и честной диагностикой: он показывает, что DNS в данный момент говорит миру, с определённой точки зрения, в определённый момент. Когда ответ вас удивляет, продуктивный следующий шаг редко бывает другим конвертером. Это взгляд на полный набор записей и вопрос, почему DNS отвечает именно так.