Come funziona il DNS

Il Domain Name System (DNS) traduce un nome come www.example.com nell'indirizzo IP che i computer usano per connettersi. Un resolver ricorsivo svolge il lavoro per te: interroga i root server, poi i server del dominio di primo livello e infine i server autorevoli del dominio, e memorizza la risposta per usarla in seguito. Di solito bastano pochi millisecondi.

Il percorso di risoluzione

Quando apri www.example.com, se nulla è in cache avvengono questi passaggi:

1. Stub resolver. Il tuo sistema operativo include un piccolo client integrato. Controlla la propria cache e il file hosts, poi invia la domanda al resolver ricorsivo configurato (di solito quello del router o del provider, oppure uno pubblico).
2. Resolver ricorsivo. Controlla la propria cache. Se non ha la risposta, parte dall'alto e pone domande finché non trova la risposta finale.
3. Root server. Il resolver chiede a un root server di www.example.com. La radice non conosce l'indirizzo, ma risponde con i server responsabili di .com.
4. Server TLD. Neanche i server di .com conoscono l'indirizzo, ma rispondono con i name server di example.com (i record NS).
5. Server autorevoli. Il name server del dominio contiene i record veri e restituisce il record A o AAAA di www.example.com.
6. Il resolver restituisce la risposta allo stub resolver, la salva nella propria cache e il browser si connette.

Puoi seguire questa catena per qualsiasi dominio con la nostra verifica DNS.

Cache e TTL

Ogni record DNS ha un TTL (time to live), un numero di secondi che indica ai resolver per quanto tempo possono conservare la risposta. Un TTL di 3600 equivale a un'ora. La cache rende il DNS veloce e riduce il carico sui server autorevoli, ma comporta anche che una modifica non compaia ovunque nello stesso momento. Esistono cache in più punti: il browser, il sistema operativo, il router e il resolver ricorsivo.

I resolver memorizzano in cache anche le risposte negative, ad esempio «questo nome non esiste» (NXDOMAIN), per un tempo indicato nel record SOA.

Tipi di record più comuni

Tipo	Scopo	Valore di esempio
A	Associa un nome a un indirizzo IPv4	192.0.2.10
AAAA	Associa un nome a un indirizzo IPv6	2001:db8::10
CNAME	Alias da un nome a un altro nome. Non può esistere all'apex della zona insieme ad altri record.	www.example.com → example.com
MX	Server di posta del dominio, con una priorità (si prova prima il numero più basso)	10 mail.example.com
NS	Name server autorevoli della zona	ns1.example.com
TXT	Testo libero; usato per SPF, DKIM, DMARC e per la verifica del dominio	"v=spf1 mx -all"
SOA	Start of authority: server primario, contatto dell'amministratore, numero di serie e timer	ns1.example.com hostmaster.example.com 2026110401 ...
CAA	Quali autorità di certificazione possono emettere certificati per il dominio	0 issue "ca.example.net"
SRV	Host e porta di un servizio specifico	10 5 5060 sip.example.com
PTR	Ricerca inversa: associa un indirizzo IP a un nome	10.2.0.192.in-addr.arpa → host.example.com

Record MX, SPF e DKIM corretti sono importanti per la consegna della posta. Usa il nostro strumento per posta e blacklist per verificare un server di posta e controllare se il suo indirizzo IP è presente nelle blocklist antispam.

Cos'è davvero la propagazione DNS

«Propagazione DNS» è il nome comune del tempo necessario affinché tutte le cache del mondo abbandonino la vecchia risposta e recuperino la nuova. Nulla viene «spinto» attraverso internet. Il server autorevole ha subito i nuovi dati; i resolver semplicemente conservano i vecchi dati finché il loro TTL non scade. Perciò il ritardo massimo per un record modificato è circa il vecchio TTL, non il nuovo.

Cambiare i name server presso il registrar è più lento, perché i record NS nella zona del TLD hanno di solito un TTL di uno o due giorni. In quel periodo alcuni utenti raggiungono i vecchi server e altri i nuovi. Puoi verificare la delega di un dominio con la consultazione WHOIS e i record stessi con la verifica DNS.

Come far propagare rapidamente una modifica

1. Almeno un intero periodo del vecchio TTL prima della modifica (ad esempio 24 ore se il TTL è 86400), abbassa il TTL del record a un valore ridotto come 300 secondi.
2. Attendi che il vecchio TTL sia trascorso, in modo che tutte le cache contengano la versione di breve durata.
3. Effettua la modifica. I resolver interrogheranno di nuovo entro circa 5 minuti.
4. Controlla il risultato da più località con uno strumento di verifica DNS.
5. Quando tutto funziona, rialza il TTL per ridurre il carico di query.

Serial SOA e server secondari

La maggior parte dei domini usa almeno due server autorevoli. Uno è il primario e gli altri sono secondari che copiano la zona dal primario tramite un trasferimento di zona (AXFR o IXFR). Il record SOA controlla questo processo:

• Serial: un numero di versione. Un secondario trasferisce la zona quando il serial del primario è maggiore del proprio. Un formato comune è data più contatore, come 2026110401. Se modifichi una zona e dimentichi di incrementare il serial, i secondari continuano a servire i vecchi dati.
• Refresh: ogni quanto un secondario controlla il serial.
• Retry: quanto attende un secondario prima di riprovare dopo un controllo fallito.
• Expire: trascorso questo tempo senza contatti, un secondario smette di rispondere.
• Minimum (TTL negativo): per quanto tempo i resolver mantengono in cache le risposte «non esiste».

Se un dominio restituisce risposte diverse da name server diversi, una causa probabile è un secondario non aggiornato. Confronta i numeri di serie di tutti i server NS.

Resolver anycast

I resolver pubblici, come quelli gestiti dai grandi provider, usano l'anycast: lo stesso indirizzo IP viene annunciato da molti data center e la rete instrada ogni query verso il più vicino. Questo garantisce bassa latenza e resilienza. Ogni sede ha la propria cache, ed è per questo che due persone che usano lo stesso indirizzo di resolver possono vedere brevemente risposte diverse dopo una modifica. La stessa tecnica è usata dai root server e da molti servizi DNS autorevoli.

Per le nozioni correlate, leggi cos'è un indirizzo IP e il modello OSI, dove il DNS si colloca al livello applicativo.