Рекурсивный резолвер и авторитативный сервер имён: разница

Словом «DNS-сервер» нередко небрежно называют две по-настоящему разные роли. Если держать их раздельно, всю систему становится гораздо проще понимать.

Рекурсивный резолвер: делает всю черновую работу

Рекурсивный резолвер — это то, с чем ваше устройство действительно общается. Его часто задаёт провайдер или роутер, либо вручную указывают публичный вариант вроде 1.1.1.1 или 8.8.8.8. Его задача — принять ваш запрос и выполнить всю работу, нужную для ответа: сначала заглянуть в собственный кеш, а при промахе пройти по цепочке от корневых серверов к серверам TLD и далее к авторитативным серверам самого домена, после чего вернуть вам окончательный ответ.

Авторитативный сервер: располагает самим ответом

Авторитативный сервер имён — источник достоверных данных о записях конкретного домена, то единственное место, где хранятся настоящие записи A, AAAA, MX и другие для этого домена. Он ничего не ищет от вашего имени: просто отвечает напрямую за домены, за которые отвечает, а на всё остальное отказывает (или пересылает запрос дальше).

• Ваш рекурсивный резолвер — общая инфраструктура, которая обычно отвечает за миллионы разных доменов, с которыми у неё нет особых отношений.
• Авторитативных серверов у домена обычно немного, и они относятся именно к этому домену (или небольшой группе связанных).
• Инструмент, выполняющий прямую проверку, например разрешающий домен через собственный DNS-резолвер Node.js с обращением к публичному рекурсивному резолверу, использует ту же цепочку от рекурсивного резолвера к авторитативному, что и ваш браузер, только без браузера вокруг.

На самом деле есть и третья роль: stub-резолвер

Ваше устройство редко проходит всю цепочку само. Вместо этого оно запускает лёгкий stub-резолвер: небольшую программу уровня ОС без собственной логики, чья единственная задача — пересылать DNS-вопросы приложений тому рекурсивному резолверу, который настроен (провайдера, роутера или заданному вручную, например 1.1.1.1), и возвращать ответ. Поэтому смена «настроек DNS» на ноутбуке или телефоне вовсе не меняет принцип работы DNS: меняется лишь то, какому рекурсивному резолверу пересылает запросы ваш stub-резолвер. Всё чаще сама эта пересылка идёт по зашифрованному каналу (DNS-over-HTTPS или DNS-over-TLS), так что наблюдатель в локальной сети уже не может прочитать в открытом виде, какие домены запрашиваются.

Это различие объясняет и то, почему «мой DNS-провайдер» и «авторитативные серверы имён моего домена» обычно означают одно и то же, тогда как «DNS-сервер, который я использую» (например, 1.1.1.1) — совершенно другой, универсальный рекурсивный резолвер без каких-либо особых сведений о вашем домене: он лишь посыльный.

Почему это различие снимает столько путаницы

Удивительно большая доля диагностики DNS сводится к тому, чтобы выяснить, какой из этих трёх уровней на самом деле отвечает за непонятное поведение, и люди часто ошибаются, потому что все три в разговоре называют «DNS-сервером». Домен, который разрешается правильно при запросе напрямую к его авторитативным серверам имён, но неправильно через рекурсивный резолвер конкретного провайдера, прямо указывает на кеш или конфигурацию этого резолвера, а не на что-либо, чем управляет владелец домена. И наоборот, домен, который разрешается неверно независимо от того, какой рекурсивный резолвер спрашивают, указывает на авторитативную сторону. Умение чётко разделить эти случаи за секунды — это почти всё, что отличает эффективную диагностику DNS от гадания.