O que é DNS?

O DNS (Domain Name System, sistema de nomes de domínio) é um sistema de nomes distribuído que ajuda os aplicativos a localizar recursos de rede. O nome de um site pode ser resolvido para endereços IPv4 ou IPv6, enquanto outros registros direcionam o e-mail ou identificam os servidores de nomes autoritativos. Um nome de domínio não precisa apontar para um único servidor.

Como funciona uma consulta DNS

Normalmente, o seu dispositivo pede a resposta a um resolvedor recursivo. Quando o resolvedor não tem uma resposta em cache, ele segue a delegação do DNS a partir da raiz, passando pelo domínio de primeiro nível, até os servidores autoritativos responsáveis pelo nome. O servidor autoritativo publica os dados da zona; o resolvedor devolve a resposta correspondente ao cliente. O registrador e o operador de DNS podem ser organizações diferentes.

O resolvedor mantém as respostas em cache por um período relacionado ao tempo de vida, ou TTL, de cada registro. Ele também pode armazenar em cache algumas respostas negativas. Por isso, usuários diferentes podem ver resultados diferentes logo após um registro ser adicionado ou alterado. Trocar os servidores de nomes no registrador altera a delegação; editar um registro A nos servidores autoritativos existentes altera os dados da zona. São operações distintas.

Registros DNS comuns

Um registro A associa um nome a um endereço IPv4, e um registro AAAA o associa a um endereço IPv6. O MX identifica os servidores de e-mail, o NS identifica os servidores de nomes autoritativos, o CNAME cria um alias de nome e o TXT contém texto usado para fins como verificação de domínio ou autenticação de e-mail. Verifique explicitamente o tipo de registro solicitado: um registro MX funcionando não diz nada sobre se um site está acessível.

Ao migrar um site, talvez baste atualizar os registros de endereço. Se você também trocar de provedor de DNS, copie os registros MX, TXT e outros necessários antes de mudar a delegação. A falta de registros de e-mail pode interromper a entrega de mensagens mesmo que o site abra. Uma resposta DNS, por si só, descreve apenas dados de nomes; ela não comprova que um servidor aceita conexões, tem um certificado TLS válido ou executa uma aplicação saudável.

Privacidade e DNSSEC

As consultas DNS tradicionais entre o cliente e o seu resolvedor geralmente não são criptografadas. O DNS sobre HTTPS e o DNS sobre TLS criptografam esse trecho do caminho, embora o resolvedor escolhido ainda possa ver as consultas que processa. O DNSSEC autentica dados DNS assinados quando a cadeia de confiança é válida; ele não criptografa a consulta nem torna um site seguro. Esses mecanismos resolvem problemas diferentes.

Diagnóstico passo a passo

Se um site novo não abre, consulte seus registros A e AAAA e identifique os servidores de nomes autoritativos. Compare as respostas deles com as de um ou mais resolvedores recursivos. Se a resposta autoritativa for nova, mas a recursiva for antiga, o cache é uma explicação provável. Se a resposta autoritativa estiver errada, verifique a zona e a delegação. Anote o nome exato, o tipo de registro, o resolvedor e o horário para o suporte.

Depois que o DNS retornar o endereço esperado, investigue a camada seguinte separadamente: alcançabilidade da rede, resposta do servidor, TLS e erros da aplicação. Essa sequência evita alterar registros DNS corretos para corrigir um problema do servidor web. Os fundamentos do protocolo estão documentados nas RFC 1034 e RFC 1035.

Privacidade do resolvedor e vazamentos de DNS

O DoH ou o DoT criptografa o trecho entre o cliente e o resolvedor, mas a escolha do resolvedor continua sendo uma questão separada. O navegador, o sistema operacional e a VPN podem usar configurações diferentes. Veja o que um teste de vazamento de DNS observa e DoH vs. DoT.