Lexique
Les notions qui reviennent dans un diagnostic DNS, en questions courtes. Les réponses renvoient aux guides quand le sujet mérite un développement.
Résolution d'un nom
Comment une question trouve sa réponse, et quel acteur répond quoi.
Qu'est-ce qu'un serveur DNS ?
Un serveur DNS traduit un nom de domaine en informations utilisables par les machines : adresses IPv4 ou IPv6, serveurs de courrier, serveurs de noms. Il répond à des questions portant sur un nom, un type et une classe, selon les formats fixés par la RFC 1035.
Quelle différence entre un résolveur récursif et un serveur faisant autorité ?
Un résolveur récursif cherche la réponse pour le compte du client, en interrogeant les serveurs les uns après les autres. Un serveur faisant autorité publie le contenu d'une zone précise et rien d'autre : sa réponse porte le bit AA. Le premier travaille pour l'utilisateur, le second est la source. En savoir plus.
Pourquoi les serveurs racine sont-ils treize ?
Treize identités, de a à m.root-servers.net, exploitées par douze organisations. Ce nombre vient de la taille des réponses UDP d'origine, pas d'une limite technique actuelle : chaque identité est diffusée en anycast depuis plusieurs centaines d'instances réparties dans le monde. Aucun mécanisme DNS ne permet de découvrir cette liste : chaque résolveur la connaît par un fichier de hints livré avec son logiciel. En savoir plus.
Qu'est-ce qu'un TLD ?
Un domaine de premier niveau, comme fr, com ou org, rattaché à la racine. La racine délègue chaque TLD à un ensemble de serveurs, qui délèguent à leur tour les domaines enregistrés. L'ensemble forme un arbre dont le sommet est le point final d'un nom absolu.
Zone, délégation et délais
Ce qu'une zone publie, ce que le parent délègue, et pourquoi un changement met du temps à se voir.
Qu'est-ce que le TTL d'un enregistrement ?
La durée de vie, en secondes, pendant laquelle un résolveur peut conserver une réponse et la servir depuis son cache. Elle appartient à l'ensemble d'enregistrements de même nom et de même type, pas au nom. Un TTL long réduit la charge, un TTL court accélère la prise en compte d'un changement. En savoir plus.
Pourquoi parle-t-on de propagation DNS alors que rien ne se propage ?
Le DNS ne diffuse pas les changements : il laisse expirer des copies. Chaque résolveur applique le TTL qu'il a reçu, à sa propre échéance. Le délai observé est donc celui de la copie la plus ancienne encore valide, et non un délai officiel de propagation. En savoir plus.
Qu'est-ce qu'un enregistrement SOA, et à quoi sert son numéro de série ?
Le SOA nomme le serveur primaire, l'adresse de contact, et donne les intervalles de rafraîchissement, de nouvelle tentative et d'expiration, ainsi que le minimum utilisé pour le cache négatif. Son numéro de série doit augmenter à chaque modification : un serveur secondaire ne transfère la zone que s'il juge le série du primaire supérieur au sien. En savoir plus.
Qu'est-ce qu'un enregistrement NS, et qu'appelle-t-on « colle » ?
Les NS désignent les serveurs qui font autorité sur une zone ; ils existent chez le parent, qui délègue, et à l'apex de la zone enfant. Quand la cible d'un NS appartient au domaine délégué, le parent doit publier aussi son adresse : c'est l'enregistrement de colle, sans lequel le résolveur tourne en rond. En savoir plus.
Qu'est-ce que le cache négatif ?
La conservation des réponses « ce nom n'existe pas ». La RFC 2308 en fixe la durée à partir du minimum du SOA, avec des plafonds. Conséquence pratique : un nom testé avant sa création peut rester introuvable quelque temps, même une fois publié. En savoir plus.
Que signifient les messages « DNS valides » et « incohérences » ?
« DNS valides » signifie que les serveurs délégués ont répondu et que leurs SOA concordent. « Incohérences » signale un écart entre serveurs : séries différentes, réponse absente ou non autoritaire. Un domaine peut résoudre pour l'utilisateur tout en présentant une incohérence, qui se manifestera à la prochaine modification de zone. En savoir plus.
Fiabilité, sécurité et outil
Redondance, signatures, transferts, et ce que mesure réellement cet outil.
Pourquoi faut-il au moins deux serveurs de noms ?
Pour que la résolution survive à la panne, à la maintenance ou à la saturation d'une machine. La RFC 2182 recommande plusieurs serveurs sur des réseaux distincts, avec une seule source d'écriture. Deux machines voisines, alimentées et reliées par la même infrastructure, ne constituent pas une redondance. En savoir plus.
Qu'est-ce qu'une délégation boiteuse (lame delegation) ?
Un serveur cité dans la délégation qui ne fait pas autorité sur la zone : il ne la charge pas, ou répond par une référence au lieu d'une réponse autoritaire. Le symptôme est une résolution qui échoue par intermittence, selon le serveur interrogé. En savoir plus.
Qu'est-ce que DNSSEC, en une réponse ?
Un ensemble de signatures ajoutées aux réponses, qui permet à un résolveur de vérifier que la donnée vient bien de la zone annoncée et qu'elle n'a pas été modifiée. La confiance se construit de la racine vers la zone par les enregistrements DS. DNSSEC n'apporte aucune confidentialité. En savoir plus.
Que sont AXFR et IXFR ?
Les deux formes du transfert de zone. AXFR transporte l'intégralité de la zone à chaque synchronisation ; IXFR ne transporte que les différences depuis le numéro de série détenu par le secondaire. Le transfert complet reste le recours quand l'historique n'est plus disponible. En savoir plus.
Que teste exactement cet outil ?
Il interroge successivement les serveurs racine, les serveurs du TLD du domaine, puis les serveurs de noms délégués, et relève le SOA de chacun. Un écart entre les réponses signale une incohérence : serveur cité qui ne répond pas, séries différentes, délégation partielle. Le détail de la méthode est décrit dans les guides. En savoir plus.
Pourquoi l'outil est-il limité à cinq requêtes par minute ?
Chaque test déclenche plusieurs dizaines de requêtes vers les serveurs racine, les TLD et les serveurs du domaine. Cette limite, appliquée par adresse IP, évite qu'un usage automatisé ne transforme l'outil en source de charge pour ces serveurs, et pour le service lui-même.
Chargement en cours...