Serwery autorytatywne
Rekordy NS powinny wskazywać oczekiwane serwery DNS, a każdy z nich powinien odpowiadać spójnie dla domeny. Różnice między serwerami często ujawniają niedokończoną migrację albo problem z synchronizacją strefy.
Narzędzie
Tester delegacji DNS
Sprawdza NS, SOA, podstawową spójność delegacji domeny oraz DNSSEC: DS, DNSKEY i RRSIG.
Audyt DNS
Tester delegacji DNS: NS, SOA, DS, DNSKEY i RRSIG
Tester delegacji DNS DataHouse sprawdza publiczne rekordy domeny widoczne z internetu: serwery autorytatywne NS, podstawowe dane SOA oraz elementy DNSSEC. To szybki test po zmianie rejestratora, operatora DNS, serwera poczty, hostingu WWW albo po włączeniu podpisywania strefy.
SOA i numer seryjny
SOA pomaga potwierdzić serwer główny, odpowiedzialną strefę oraz numer seryjny. Niespójny serial między serwerami może powodować, że część użytkowników widzi stare rekordy.
DNSSEC
DS, DNSKEY i RRSIG pozwalają ocenić, czy domena może budować chain of trust. Błędny DS po rotacji kluczy albo wygasły podpis RRSIG może zatrzymać domenę u resolverów walidujących.
Typowe sytuacje do sprawdzenia
- Po zmianie rejestratora domeny lub operatora DNS.
- Przed i po włączeniu DNSSEC albo po rotacji kluczy KSK/ZSK.
- Po migracji strony, poczty, sklepu lub aplikacji do nowej infrastruktury.
- Gdy część użytkowników widzi starą stronę, stare MX albo inny wynik DNS.
- Gdy wystawienie certyfikatu SSL/TLS nie przechodzi przez walidację DNS.
Kiedy uruchomić test delegacji DNS?
Delegacja DNS jest punktem startowym dla działania strony WWW, poczty, certyfikatów SSL/TLS i DNSSEC. Błąd w NS, SOA albo DS potrafi wyglądać jak awaria aplikacji, mimo że sam serwer działa poprawnie.