Le DNS flapping désigne une situation où les résolutions DNS alternent de manière apparemment aléatoire entre différentes valeurs. Cela peut être intentionnel (round-robin load balancing) ou problématique (secondaires désynchronisés, zone corrompue, attaque). Le flapping problématique cause une expérience utilisateur incohérente : parfois le site charge, parfois non. Identifier si le flapping est normal ou anormal est la première étape du diagnostic.
Symptômes du DNS Flapping
- dig retourne des IPs différentes à chaque requête
- Le site fonctionne parfois, pas d'autres fois, sans pattern clair
- Les monitors externes alternent entre UP et DOWN rapidement
- Les utilisateurs rapportent une expérience incohérente
Causes du Flapping
- Round-robin intentionnel : Vous avez configuré plusieurs enregistrements A pour du load balancing. C'est normal, chaque IP doit fonctionner.
- NS désynchronisés : Vos serveurs NS secondaires n'ont pas la même zone que le primaire. La réponse dépend de quel NS répond.
- Propagation en cours : Pendant une migration, les caches ont des valeurs différentes selon leur TTL résiduel.
Diagnostic du Flapping
- Interrogez chaque NS individuellement : dig @ns1.example.com example.com puis @ns2...
- Vérifiez que le serial SOA est identique sur tous les NS.
- Si round-robin intentionnel, vérifiez que TOUTES les IPs retournées sont valides.
- Testez sur plusieurs résolveurs publics pour voir si le flapping est local ou global.
Détection du Flapping avec MoniTao
MoniTao identifie les patterns de flapping :
- Détection d'alternance anormale de valeurs DNS
- Alerte si les NS retournent des valeurs différentes (désynchronisation)
- Distinction entre round-robin légitime et problème de zone
Stabiliser le DNS
- Pour le round-robin, assurez-vous que chaque IP est surveillée individuellement
- Vérifiez régulièrement la synchronisation de vos NS secondaires
- Utilisez des TTL cohérents sur tous vos enregistrements
- Évitez les changements DNS fréquents qui créent des états transitoires
FAQ - DNS Flapping
Le round-robin DNS est-il fiable ?
Pour du load balancing basique, oui. Mais il n'a pas de health check : si une IP tombe, les utilisateurs y sont quand même envoyés.
Comment forcer une seule IP ?
Supprimez les autres enregistrements A et gardez une seule IP. Pour du vrai load balancing, utilisez un load balancer.
Mes NS sont désynchronisés, comment réparer ?
Vérifiez les transferts de zone (AXFR/IXFR), le serial SOA, et que NOTIFY fonctionne entre primaire et secondaires.
Le flapping peut-il être une attaque ?
Potentiellement. Un attaquant qui a compromis un NS peut retourner des valeurs différentes. Vérifiez l'intégrité de vos serveurs.
Prêt à dormir sur vos deux oreilles ?
Commencez gratuitement, sans carte bancaire.