Perché usare strumenti DNS?
Il DNS è il primo passo di ogni connessione Internet. Un problema DNS = sito inaccessibile, email non consegnate, certificati SSL impossibili da validare. Senza visibilità sulla tua configurazione DNS, lavori alla cieca.
Tre situazioni in cui questi strumenti sono indispensabili:
- Migrazione server → Verificare che il nuovo A/AAAA sia propagato prima di spegnere il vecchio server
- Problema email → Confermare che MX, SPF, DKIM, DMARC siano correttamente pubblicati
- Sito inaccessibile → Diagnosticare se il problema viene dal DNS, dal server o dalla rete
Come diagnosticare un problema DNS in 3 passaggi
Passaggio 1: Eseguire una ricerca DNS
Accedi al DNS Lookup, inserisci il tuo dominio e seleziona il tipo di record:
- A: indirizzo IPv4 del server
- AAAA: indirizzo IPv6
- MX: server di posta
- TXT: SPF, DKIM, DMARC, verifiche
- NS: nameserver autoritativi
Confronta le risposte di Google DNS, Cloudflare, Quad9 e del server autoritativo.
Passaggio 2: Verificare la salute DNS
Usa l'Audit DNS per un'analisi completa:
- Coerenza parent/zona
- Delega e glue record
- Accessibilità IPv4 e IPv6
- Supporto TCP (obbligatorio per risposte voluminose)
- Sincronizzazione SOA tra server
Passaggio 3: Seguire la propagazione
Dopo una modifica, il Test di propagazione confronta le risposte di decine di resolver pubblici. Vedi istantaneamente chi ha il nuovo valore e chi mantiene ancora il vecchio.
Cos'è il DNS?
Il DNS (Domain Name System) traduce i nomi di dominio in indirizzi IP. Quando digiti captaindns.com, il tuo browser interroga un resolver DNS che segue la catena:
- Server root → Indicano dove trovare il TLD (.com)
- Server TLD → Indicano i NS del dominio
- Server autoritativi → Forniscono la risposta finale
Esempio di risoluzione:
Query: captaindns.com A
→ Root: "Il .com è gestito da a.gtld-servers.net"
→ TLD: "captaindns.com è delegato a ns1.provider.com"
→ Autoritativo: "A = 203.0.113.50, TTL 3600"
Tipi di record DNS analizzati
| Tipo | Funzione | Esempio |
|---|---|---|
| A | Indirizzo IPv4 | 203.0.113.50 |
| AAAA | Indirizzo IPv6 | 2001:db8::1 |
| CNAME | Alias verso un altro nome | www → captaindns.com |
| MX | Server di posta | 10 mail.captaindns.com |
| TXT | Testo libero (SPF, DKIM, ecc.) | v=spf1 include:_spf.google.com -all |
| NS | Nameserver | ns1.captaindns.com |
| SOA | Autorità di zona | Serial, refresh, retry, expire, minimum |
| CAA | Autorità di certificazione | issue "letsencrypt.org" |
| PTR | Risoluzione inversa | IP → nome |
Casi d'uso concreti
Incidente 1: Sito inaccessibile dopo migrazione
Sintomo: Il sito funziona per alcuni utenti, non per altri.
Diagnosi:
- Esegui un DNS Lookup sul record A
- Confronta le risposte: Google ha il nuovo IP, alcuni ISP hanno ancora il vecchio
Azione: Attendere la scadenza del TTL o abbassare il TTL prima della prossima migrazione.
Incidente 2: Email rifiutate dopo cambio provider
Sintomo: Le email in uscita vengono rifiutate con "SPF fail".
Diagnosi:
- Verifica il TXT con DNS Lookup
- Il vecchio include è ancora presente, il nuovo manca
Azione: Correggere il record SPF, attendere la propagazione, testare di nuovo.
Incidente 3: Certificato SSL impossibile da generare
Sintomo: Let's Encrypt fallisce con "DNS problem".
Diagnosi:
- Esegui l'audit DNS del dominio
- Un NS è in lame delegation (non risponde come autoritativo)
Azione: Correggere la delega presso il registrar, attendere la propagazione.
FAQ - Domande frequenti
D: Come funziona la ricerca DNS?
R: Lo strumento interroga il resolver selezionato (Google, Cloudflare o il server autoritativo) e mostra la risposta grezza con TTL, sezioni answer/authority/additional e latenza. Puoi attivare la traccia iterativa per vedere ogni passaggio della risoluzione.
D: Cos'è la propagazione DNS?
R: La "propagazione" si riferisce al tempo necessario affinché le cache dei resolver scadano e recuperino il nuovo valore. Dipende dal TTL: un TTL di 3600 significa che alcuni resolver possono mantenere il vecchio valore fino a 1 ora dopo la tua modifica.
D: Perché i risultati differiscono tra i resolver?
R: Ogni resolver ha la propria cache. Se un resolver ha interrogato la tua zona prima della tua modifica, mantiene la risposta in cache fino alla scadenza del TTL. Ecco perché le modifiche non sono istantanee ovunque.
D: Cosa verifica l'audit DNS?
R: L'audit controlla la coerenza tra parent (registry) e zona, verifica che ogni NS risponda come autoritativo, testa IPv4/IPv6, valida TCP, confronta i serial SOA e rileva lame delegation o glue obsoleti.
D: Come ridurre il tempo di propagazione?
R: Abbassa il TTL del record da modificare 24-48h prima della modifica (ad esempio a 300 secondi). Effettua la modifica. Una volta stabile, alza di nuovo il TTL al valore normale per ottimizzare le prestazioni.
Strumenti complementari
| Strumento | Utilità |
|---|---|
| Ispettore SPF | Verificare e correggere il tuo record SPF |
| Ispettore DKIM | Validare la tua firma e chiave DKIM |
| Ispettore DMARC | Configurare e testare la tua policy DMARC |
| Tester email | Testare SPF/DKIM/DMARC dal tuo server |
Risorse utili
- RFC 1035 - Domain Names (specifica DNS originale)
- RFC 8499 - DNS Terminology (glossario DNS ufficiale)
- Google Public DNS Documentation (guida all'uso)
- Cloudflare DNS Learning Center (tutorial DNS)