Šta gledate
Svaki upit ide javnom rekurzivnom rezolveru, koji ili odgovara iz svog keša (prikazani TTL je preostalo vreme u tom kešu) ili pita autoritativne servere zone. Zato se dva rezolvera mogu razlikovati posle izmene: jedan još drži stari zapis dok mu TTL ne istekne. Poređenje rezolvera to čini vidljivim; kada se oba slažu sa onim što očekujete, izmena se propagirala koliko je većini Interneta bitno. Potpuna propagacija je jednostavno „svaki keš je istekao“, pa je snižavanje TTL-a dan pre izmene jedini način da bude brza.
Tipovi zapisa ukratko
| Tip | Sadrži | Tipična provera |
|---|---|---|
| A / AAAA | IPv4 / IPv6 adresa | da li sajt pokazuje na pravi server |
| CNAME | alias za drugo ime | ne može postojati uz druge zapise na istom imenu; nikad na vrhu zone (apex) |
| MX | serveri za poštu sa prioritetom | najmanji broj se proba prvi; cilj mora imati A/AAAA, ne CNAME |
| TXT | slobodan tekst: SPF, DMARC, DKIM, verifikacija sajta | tačno jedan SPF zapis |
| NS | autoritativni name serveri | moraju odgovarati onome što delegira roditeljska zona |
| SOA | parametri zone: serial, refresh, retry, expire, minimum | serial raste pri svakoj izmeni; minimum je TTL negativnog keša |
| CAA | koji sertifikacioni autoriteti smeju da izdaju | Let’s Encrypt traži issue "letsencrypt.org" ili uopšte bez CAA |
| SRV | lokacija servisa: prioritet, težina, port, cilj | _sip._tcp, _xmpp-client._tcp, _minecraft._tcp |
| DS / DNSKEY | DNSSEC lanac poverenja | DS u roditelju mora odgovarati KSK-u u zoni; AD flag pokazuje da je validacija uspela |
| HTTPS / SVCB | service binding: ALPN (h2, h3), ECH, IP nagoveštaji | ono što Cloudflare objavljuje za HTTP/3 i Encrypted Client Hello |
| TLSA | DANE pinovanje sertifikata | uglavnom za SMTP između servera za poštu |
SPF i limit od 10 pretraga
SPF zapis navodi ko sme da šalje poštu za domen. Svaki include:, a, mx, ptr, exists i redirect= član košta prijemni server jednu DNS pretragu, a RFC 7208 ograničava ukupan broj na deset, računajući kroz svaki ugnežđeni include. Pređite granicu i primaoci vraćaju permerror, što DMARC tretira kao neuspeh, pa pošta sa domena koji ima previše include-ova počinje da završava u spamu onog dana kada provajder doda još jedan include u svoj zapis. Prikaz lanca razrešava svaki include i pokazuje tekući zbir; uobičajena popravka je zamena include: provajderovim ip4: opsezima ili izbacivanje pošiljalaca koje više ne koristite. Include-ovi koji se ne razrešavaju ni u jedan SPF zapis računaju se kao „void lookups“, ograničeni na dva.
DMARC i DKIM
DMARC živi na _dmarc.domen i kaže šta raditi kada se ni SPF ni DKIM ne poravnaju sa From adresom: p=none nadgledanje, p=quarantine spam folder, p=reject odbijanje. DKIM javni ključevi žive na selektor._domainkey.domen; selektor je u s= tagu DKIM-Signature zaglavlja bilo koje poruke koju pošaljete, pa pogledajte tamo ako ga ne znate. Uobičajeni selektori: google (Google Workspace), selector1/selector2 (Microsoft 365), k1 (Mailchimp), default, mail, dkim.
Pitanja
Zašto Cloudflare i Google daju različite odgovore?
Keširanje. Jedan rezolver je preuzeo zapis pre vaše izmene i drži ga dok mu TTL ne istekne; drugi ga je preuzeo posle. Sačekajte da stari TTL istekne, ili snizite TTL pre sledeće izmene. Ako se i posle toga ne slažu, vaši autoritativni name serveri možda nisu međusobno sinhronizovani (uporedite SOA serial na svakom).
Zašto nema zapisa kad znam da postoji?
Proverite tačno ime: www.example.com i example.com su različita imena. CNAME na imenu skriva ostale tipove. Ako je status NXDOMAIN, ime uopšte ne postoji; NOERROR bez odgovora znači da ime postoji, ali nema zapis tog tipa.
Šta znači DNSSEC (AD) flag?
Rezolver je validirao odgovor prema DNSSEC lancu poverenja i provera je prošla. Ako je zona potpisana, a flag nedostaje na oba rezolvera, DS zapis u roditelju možda ne odgovara ključu zone (klasika posle prelaska na drugog DNS provajdera), što domen čini nedostupnim za rezolvere koji validiraju.
Da li je ovo isto što i dig ili nslookup?
Skoro. dig +dnssec example.com MX @1.1.1.1 postavlja isto pitanje istom rezolveru. Ova stranica koristi DNS-over-HTTPS krajnje tačke rezolvera da bi mogla da radi u pregledaču; ne može direktno da upita vaše name servere, pa za proveru autoritativnih odgovora koristite dig @ns1.vasdns.com.
Zašto se broj SPF pretraga razlikuje od drugog alata?
Alati se razlikuju po tome da li broje redirect= modifikator, ugnežđene include-ove i a/mx članove sa eksplicitnim argumentima. Ova stranica prati RFC 7208, odeljak 4.6.4: include, a, mx, ptr, exists i redirect svi se broje, na svakom nivou ugnežđivanja; ip4, ip6 i all su besplatni.