Cassetta degli attrezzi DNS

Perché usare strumenti DNS?

Il DNS è il primo passo di ogni connessione Internet. Un problema DNS = sito inaccessibile, email non consegnate, certificati SSL impossibili da validare. Senza visibilità sulla tua configurazione DNS, lavori alla cieca.

Tre situazioni in cui questi strumenti sono indispensabili:

• Migrazione server → Verificare che il nuovo A/AAAA sia propagato prima di spegnere il vecchio server
• Problema email → Confermare che MX, SPF, DKIM, DMARC siano correttamente pubblicati
• Sito inaccessibile → Diagnosticare se il problema viene dal DNS, dal server o dalla rete
• DNSSEC rotto → Verificare la chain of trust, rilevare DS orfani o firme scadute

Come diagnosticare un problema DNS in 3 passaggi

Passaggio 1: Eseguire una ricerca DNS

Accedi al DNS Lookup, inserisci il tuo dominio e seleziona il tipo di record:

• A: indirizzo IPv4 del server
• AAAA: indirizzo IPv6
• MX: server di posta
• TXT: SPF, DKIM, DMARC, verifiche
• NS: nameserver autoritativi

Confronta le risposte di Google DNS, Cloudflare, Quad9 e del server autoritativo.

Passaggio 2: Verificare la salute DNS

Usa l'Audit DNS per un'analisi completa:

• Coerenza parent/zona
• Delega e glue record
• Accessibilità IPv4 e IPv6
• Supporto TCP (obbligatorio per risposte voluminose)
• Sincronizzazione SOA tra server

Passaggio 3: Seguire la propagazione

Dopo una modifica, il Test di propagazione confronta le risposte di decine di resolver pubblici. Vedi istantaneamente chi ha il nuovo valore e chi mantiene ancora il vecchio.

Cos'è il DNS?

Il DNS (Domain Name System) traduce i nomi di dominio in indirizzi IP. Quando digiti captaindns.com, il tuo browser interroga un resolver DNS che segue la catena:

1. Server root → Indicano dove trovare il TLD (.com)
2. Server TLD → Indicano i NS del dominio
3. Server autoritativi → Forniscono la risposta finale

Esempio di risoluzione:

Query: captaindns.com A
→ Root: "Il .com è gestito da a.gtld-servers.net"
→ TLD: "captaindns.com è delegato a ns1.provider.com"
→ Autoritativo: "A = 203.0.113.50, TTL 3600"

Tipi di record DNS analizzati

DNSSEC: proteggere la catena di risoluzione DNS

DNSSEC (Domain Name System Security Extensions) aggiunge uno strato di firme crittografiche al DNS. Senza DNSSEC, un attaccante può intercettare e modificare le risposte DNS (DNS spoofing, cache poisoning) per reindirizzare il traffico verso un server malevolo.

Come funziona DNSSEC:

1. Ogni zona DNS firma i propri record con una chiave privata
2. La chiave pubblica viene pubblicata nel DNS (record DNSKEY)
3. Il parent pubblica un record DS (Delegation Signer) che collega la chiave della zona figlia
4. Il resolver verifica ogni firma risalendo fino alla root

Cosa verifica il DNSSEC Checker:

DNSSEC è indispensabile per DANE/TLSA (sicurezza SMTP) e diventa un prerequisito per sempre più servizi. Microsoft 365 richiederà DNSSEC per i domini email nel 2026.

RDAP: dati di registrazione dei domini

RDAP (Registration Data Access Protocol) sostituisce WHOIS per interrogare i dati di registrazione di un dominio. Dal 28 gennaio 2025, l'ICANN non impone più WHOIS per i gTLD. 374 TLD hanno già disattivato il servizio WHOIS.

Cosa rivela un RDAP Lookup:

• Registrar: chi gestisce il dominio (nome, identificativo IANA, contatto abuse)
• Date: creazione, scadenza, ultima modifica, età del dominio
• Codici EPP: blocchi attivi (transferProhibited, deleteProhibited), sospensioni, stati transitori
• DNSSEC: il dominio è firmato DNSSEC a livello del registrar?
• Contatti: titolare, amministrativo, tecnico (se non mascherati dal GDPR)

Perché è importante:

• Un dominio senza clientTransferProhibited è vulnerabile al furto (domain hijacking)
• Un dominio in pendingDelete verrà eliminato entro 30 giorni
• Un dominio creato meno di 30 giorni fa è potenzialmente sospetto (phishing)
• L'assenza di DNSSEC espone il dominio al DNS spoofing

Lo strumento rileva automaticamente il protocollo (RDAP o WHOIS) e normalizza i risultati nello stesso formato, indipendentemente dal TLD.

Casi d'uso concreti

Incidente 1: Sito inaccessibile dopo migrazione

Sintomo: Il sito funziona per alcuni utenti, non per altri.

Diagnosi:

• Esegui un DNS Lookup sul record A
• Confronta le risposte: Google ha il nuovo IP, alcuni ISP hanno ancora il vecchio

Azione: Attendere la scadenza del TTL o abbassare il TTL prima della prossima migrazione.

Incidente 2: Email rifiutate dopo cambio provider

Sintomo: Le email in uscita vengono rifiutate con "SPF fail".

Diagnosi:

• Verifica il TXT con DNS Lookup
• Il vecchio include è ancora presente, il nuovo manca

Azione: Correggere il record SPF, attendere la propagazione, testare di nuovo.

Incidente 3: Certificato SSL impossibile da generare

Sintomo: Let's Encrypt fallisce con "DNS problem".

Diagnosi:

• Esegui l'audit DNS del dominio
• Un NS è in lame delegation (non risponde come autoritativo)

Azione: Correggere la delega presso il registrar, attendere la propagazione.

FAQ - Domande frequenti

D: Come funziona la ricerca DNS?

R: Lo strumento interroga il resolver selezionato (Google, Cloudflare o il server autoritativo) e mostra la risposta grezza con TTL, sezioni answer/authority/additional e latenza. Puoi attivare la traccia iterativa per vedere ogni passaggio della risoluzione.

D: Cos'è la propagazione DNS?

R: La "propagazione" si riferisce al tempo necessario affinché le cache dei resolver scadano e recuperino il nuovo valore. Dipende dal TTL: un TTL di 3600 significa che alcuni resolver possono mantenere il vecchio valore fino a 1 ora dopo la tua modifica.

D: Perché i risultati differiscono tra i resolver?

R: Ogni resolver ha la propria cache. Se un resolver ha interrogato la tua zona prima della tua modifica, mantiene la risposta in cache fino alla scadenza del TTL. Ecco perché le modifiche non sono istantanee ovunque.

D: Cosa verifica l'audit DNS?

R: L'audit controlla la coerenza tra parent (registry) e zona, verifica che ogni NS risponda come autoritativo, testa IPv4/IPv6, valida TCP, confronta i serial SOA e rileva lame delegation o glue obsoleti.

D: Come ridurre il tempo di propagazione?

R: Abbassa il TTL del record da modificare 24-48h prima della modifica (ad esempio a 300 secondi). Effettua la modifica. Una volta stabile, alza di nuovo il TTL al valore normale per ottimizzare le prestazioni.

D: Cos'è il DNSSEC e perché attivarlo?

R: DNSSEC aggiunge firme crittografiche alle risposte DNS per impedire spoofing e cache poisoning. Senza DNSSEC, un attaccante può reindirizzare il tuo traffico verso un server malevolo. DNSSEC è indispensabile per DANE/TLSA e sarà richiesto da Microsoft 365 nel 2026. Verifica la tua catena di fiducia con il DNSSEC Checker.

D: Come verificare i dati di registrazione di un dominio?

R: Usa il RDAP Lookup per interrogare il registrar, le date (creazione, scadenza), i codici EPP e lo stato DNSSEC di un dominio. RDAP sostituisce WHOIS da gennaio 2025. Lo strumento passa automaticamente a WHOIS per i TLD non coperti (.de, .cn, .eu, .ru).

Strumenti complementari

Risorse utili

• RFC 1035 - Domain Names (specifica DNS originale)
• RFC 8499 - DNS Terminology (glossario DNS ufficiale)
• Google Public DNS Documentation (guida all'uso)
• Cloudflare DNS Learning Center (tutorial DNS)