DNS : résolution, autorité et diagnostic

Formation : BTS SIO — Option SISR

1. Rôle du DNS

Le DNS associe des noms à des informations : adresses IP, serveurs de messagerie ou services d'un domaine Active Directory. Une résolution réussie ne garantit pas que le service recherché fonctionne.

2. Résolveur et serveur faisant autorité

Rôle	Fonction
Résolveur récursif	Recherche la réponse pour le client et la conserve en cache selon le TTL.
Serveur faisant autorité	Publie les enregistrements des zones dont il est responsable.
Primaire	Héberge la version de référence d'une zone dans une organisation primaire/secondaire.
Secondaire	Reçoit une copie par transfert et peut répondre aux requêtes faisant autorité.

Serveur du laboratoire	Adresse	Fonction
dns0	192.168.3.10	Résolveur Unbound
dns1	192.168.3.11	Second résolveur
ns0.californie.cub.sioplc.fr	192.36.3.10	Primaire de la zone Californie
ns1.californie.cub.sioplc.fr	192.36.3.11	Secondaire de la zone Californie

Un secondaire peut répondre en même temps que le primaire ; son rôle ne consiste pas seulement à attendre une panne.

3. Enregistrements et cache

Type	Usage
A / AAAA	Adresse IPv4 / IPv6
CNAME	Alias vers un autre nom
NS	Serveur faisant autorité pour une zone
SOA	Paramètres de la zone, notamment son numéro de série
MX	Serveurs de messagerie et priorité
PTR	Résolution inverse
SRV	Localisation d'un service

Le TTL fixe la durée de conservation en cache. Une modification de zone peut donc ne pas être visible immédiatement par tous les clients.

4. Déroulement d'une résolution

Le client interroge son résolveur. Celui-ci répond depuis son cache ou recherche les données selon sa configuration. En résolution itérative, il suit les délégations jusqu'aux serveurs responsables du nom.

Racine → fr → sioplc.fr → cub.sioplc.fr → californie.cub.sioplc.fr

Les NS de la zone parente désignent les serveurs de la zone déléguée. Lorsque leurs noms se trouvent dans cette zone, des adresses de raccordement (glue records) permettent d'éviter une dépendance circulaire.

5. Interroger avec dig

# Résolveur explicite
dig @192.168.3.10 google.fr A
# Autorité, sans demander de récursion
dig @192.36.3.11 californie.cub.sioplc.fr SOA +norecurse
dig @192.36.3.11 californie.cub.sioplc.fr NS +norecurse
# Vérification du transport TCP
dig @192.168.3.10 google.fr A +tcp
# Résolution inverse
dig @192.168.3.10 -x 8.8.8.8

Le DNS utilise UDP et TCP 53. Tester un transport ne valide pas l'autre. dig A 8.8.8.8 demande un A pour le nom littéral 8.8.8.8. ; cette commande ne réalise pas une résolution inverse.

6. Lire la réponse

Élément	Signification
NOERROR	Pas d'erreur DNS ; le type demandé peut toutefois être absent.
NXDOMAIN	Nom inexistant
SERVFAIL	Échec de traitement
REFUSED	Requête refusée
aa	Réponse faisant autorité
rd / ra	Récursion demandée / disponible
ad	Données annoncées comme authentifiées selon la politique du résolveur

Contrôler également SERVER, ANSWER SECTION, AUTHORITY SECTION, le TTL et Query time. Une réponse rapide peut venir du cache et ne prouve pas un échange récent avec la racine.

7. Suivre les délégations

dig +trace ns0.californie.cub.sioplc.fr

Avec +trace, dig interroge lui-même les serveurs successifs. Il ne s'agit pas d'une unique résolution récursive confiée à Unbound. La présence de DS, RRSIG ou NSEC3 ne suffit pas à démontrer une validation DNSSEC complète.

8. Diagnostic et continuité

Symptôme	Contrôles
Aucune réponse	Serveur interrogé, routage, écoute et filtrage UDP/TCP 53
SERVFAIL	Journaux, délégation, accès amont, heure et DNSSEC
REFUSED	Politique de récursion et réseaux autorisés
Ancienne adresse	TTL, cache client et cache résolveur
Primaire et secondaire différents	Séries SOA et transfert de zone
DNS correct, service inaccessible	Port applicatif, service, filtrage et NAT

Un test de basculement doit identifier le système client, le serveur arrêté et les délais observés. La présence de deux résolveurs ne garantit pas un comportement identique sur tous les clients.

Table des matières