Что такое DNS-сервер: роли резолвера и сервера имён

DNS-сервер — это программа, которая отвечает на вопросы об именах в системе доменных имён, но под этим понятием скрывается несколько ролей. Рекурсивный резолвер принимает запрос от устройства и находит ответ, нередко используя кешированные данные или опрашивая другие серверы. Авторитативный сервер имён публикует записи конкретной DNS-зоны и служит источником данных для имён в этой зоне. Эти системы взаимодействуют, но не взаимозаменяемы. Понимание того, к какой из них вы обращаетесь, помогает объяснить, почему один DNS-сервер может вернуть кешированные данные, а другой показывает то, что владелец домена настроил совсем недавно.

Рекурсивный резолвер — помощник клиента

Большинство ноутбуков и телефонов настроены на обращение к рекурсивному резолверу, который обслуживает интернет-провайдер, организация, роутер или публичный DNS-сервис. Получив вопрос об имени, которого ещё нет в кеше, резолвер проходит по цепочке делегирования DNS, при необходимости опрашивая корневые серверы, серверы домена верхнего уровня и авторитативные серверы. Он возвращает клиенту окончательный ответ и временно сохраняет его по правилам TTL. Такое кеширование сокращает повторную работу и ускоряет обычный просмотр сайтов. Это же означает, что картина у резолвера может отставать от недавнего изменения на авторитативном сервере, пока не истечёт соответствующая кешированная информация.

Авторитативный сервер имён отвечает на основе данных зоны, которую он обслуживает. Владельцы доменов обычно настраивают авторитативные серверы через DNS-провайдера, а настройки у регистратора определяют, какие серверы имён делегированы для домена. Рекурсивный резолвер может добраться до нужного авторитетного источника, только если цепочка делегирования верна. Если вы обновляете записи в панели провайдера, который на самом деле не является авторитативным для домена, публичные пользователи могут никогда не увидеть эти правки. Поэтому проверка записей NS — полезный первый шаг, когда DNS-обновление, похоже, ни на что не влияет: она подтверждает, какой провайдер отвечает на публичные запросы.

Почему два DNS-сервера могут давать разные ответы

Разные ответы могут возникать из-за времени кеширования, split-horizon DNS, географической маршрутизации, балансировки нагрузки, устаревшей репликации зоны или неверного делегирования. Корпоративные сети иногда намеренно возвращают сотрудникам внутренние адреса, тогда как публичная картина показывает публичные конечные точки. Публичные рекурсивные резолверы тоже могут находиться в разных местах и получать ответы, зависящие от региона. Расхождение — повод сравнить путь запроса, а не сразу свидетельство того, что один из серверов вредоносный или неисправный. Прежде чем делать вывод, проверьте код ответа, запрошенное имя, тип записи, TTL и адрес резолвера.

• Используйте рекурсивный резолвер, когда хотите узнать, что, вероятно, получит обычный клиент.
• Запрашивайте авторитативные серверы, когда проверяете данные зоны, публикуемые в настоящий момент.
• Проверяйте делегирование и записи NS, если изменения, сделанные в панели управления, не видны.
• Сравнивайте TTL и временные метки, прежде чем считать старый кешированный ответ постоянным.
• Держите внутренние DNS-имена в тайне: не отправляйте конфиденциальные имена хостов в публичные сервисы проверки.

Практический способ сузить круг поиска

При диагностике начните с обычного рекурсивного запроса из затронутой сети и запомните ответ. Затем сравните его с доверенным публичным резолвером и при необходимости с авторитативными серверами имён домена. Если авторитативные данные верны, а рекурсивный ответ старый, правдоподобное объяснение — кеширование. Если неверны сами авторитативные данные, изучите зону и аккаунт у провайдера. Если разные авторитативные серверы расходятся, провайдер, возможно, не синхронизировал зону, либо делегирование указывает на неожиданные серверы. Такое многоуровневое сравнение часто выявляет неисправность без многократной смены записей и очистки всех кешей.

Базовое объяснение того, как домен превращается в адрес, есть в статье как работает DNS. Чтобы посмотреть публичные адреса, инструмент проверки домена запрашивает публичный DNS. Это отличается от полного аудита авторитативных серверов, и ни одна из этих операций не проверяет, принимает ли сервер трафик приложения. Понимание различия между резолвером и авторитативным источником облегчает интерпретацию DNS-ответов и помогает выбирать следующий диагностический шаг на основании фактов, а не предположений.

Выбор резолвера для конкретной задачи

Для обычного просмотра сайтов резолвер, настроенный в сети, часто обеспечивает нужную фильтрацию, внутренние имена и поведение поддержки. Для независимой публичной проверки хорошо документированный публичный рекурсивный резолвер может дать полезное сравнение, но его ответ может отличаться из-за кеша, политики или расположения. Подтверждая собственную зону, запрашивайте её авторитативные серверы, а не меняйте настройки устройства пользователя. Корпоративным командам стоит задокументировать утверждённый путь резолвера и правила условной пересылки, поскольку публичный сервис не знает данных приватных зон. Разделяйте эти цели: резолвер, лучше всего отражающий опыт конечного пользователя, может не подходить для проверки свежей авторитативной публикации. Если фиксировать резолвер вместе с каждым результатом, позже будет проще объяснить, почему другой участник команды из другой сети видел другие ответы.