Perché non tutti i server DNS funzionano per i domini .it?

Negli helpdesk dei Registrar, o nei forum specializzati capita frequentemente una segnalazione in merito a problemi di configurazione di server DNS per i domini .it (un esempio recente qui... ma con google potreste trovarne dozzine, se non centinaia!!!); una segnalazione che si può efficacemente riassumere con:

Ci sono questi server DNS che ho SEMPRE usato per tutti i miei domini, che funzionano BENISSIMO, che non hanno MAI avuto alcun problema... ed allora perché ho sempre rogne se voglio usarli per un dominio .it?

Ed il lamento prosegue cercando di attribuire la colpa al Registrar, al nic.it, o ad oscure congiunzioni astrali...

E' il caso di specificare un concetto che, molto spesso, sfugge:

Il nic.it, prima di registrare un dominio assegnandolo a determinati server DNS, oppure prima di accettare che i server DNS già attivi per un certo dominio vengano sostituiti con altri, esegue sui "nuovi" server DNS alcuni test.
E se questi test non vengono superati, l'operazione non viene effettuata.
Quindi:

• se si tratta di una nuova registrazione, il nic.it andrà avanti per un po' di tempo ad effettuare il test; se i server DNS continuano a non superarlo, ad un certo punto il nic.it cancellerà semplicemente la registrazione, il dominio tornerà ad essere libero per una nuova registrazione, e chi s'è visto s'è visto;
  
• se si tratta invece di sostituire i server DNS per un dominio già registrato, il nic.it continuerà ad eseguire i test dino a che non saranno superati; nel frattempo, resteranno sempre attivi i nuovi server DNS.
  Dopo un po' di tempo, se i server DNS continueranno a non superare il test, allora il nic.it abbandonerà l'operazione ed il dominio resterà con i vecchi server DNS

Chiaro?

Vediamo adesso alcuni dettagli:

In cosa consistono i test eseguiti dal nic.it sui server DNS?

I requisiti sono i seguenti:

• i server DNS autoritativi per il nic.it devono essere almeno 2 (due) e devono corrispondere esattamente a quelli presenti nella registrazione del nome a dominio;
• gli indirizzi IP degli host presenti nella registrazione del nome a dominio devono  corrispondere a quelli ad essi realmente associati nel DNS;
• al nome a dominio non può essere associato un record CNAME;
• il nome del nameserver specificato nel record SOA non può essere un CNAME;
• i nomi dei nameserver autoritativi per il nome a dominio non possono essere dei CNAME;
• al record MX, eventualmente presente, non può essere associato un CNAME;
• durante la procedura di controllo, nessuno dei server DNS deve dare alcuno dei seguenti esiti:
  Not responding
  Not reachable
  Not running
  Non-existent domain
  Host not found
  Server failure
  Query failed
• tutti gli host presenti nella registrazione devono essere autoritativi per il nome a dominio registrato.

Come faccio a verificare che i miei server DNS sono correttamente configurati?

Una volta il nic.it forniva un tool on-line di verifica e diagnosi dei server DNS; purtroppo questo tool non è più pubblico, ma è solo a disposizione dei Registrar.

Quindi, per verificare i nostri server DNS il modo più semplice è, ovviamente, quello di lasciare che il nic.it faccia il test: se i server DNS sono correttamente configurati, il test verrà superato e quindi significa che è tutto OK.
In alternativa, se vogliamo fare una diagnosi approfondita, dovremmo chiedere al nostro Registrar. Ma ovviamente ciò può portare a qualche problema: non tutti i Registrar sono disponibili a farlo, non tutti sono disponibili a farlo gratis, e non tutti ancora sono disponibili a farlo velocemente...
(Peraltro, bisogna anche capirli: un Registrar solitamente mette a disposizione dei server DNS funzionanti; se noi vogliamo usare i nostri server DNS anziché quelli del Registrar, perché lo stesso dovrebbe farsi carico - gratis e velocemente - delle rogne relative ai NOSTRI server DNS?)
Esistono una serie di tools gratuiti on line che ti permettono di verificare la configurazione dei DNS (quali ad esempio dnsqueries.com), ma obiettivamente non ne ho trovato ancora uno completo ed approfondito come quello del nic.it...
Il problema principale è che i normali tool disponibili in rete fanno un controllo dello stato dei DNS per i server DNS già impostati dal Registro come autoritativi; mentre a noi spesso interessa effettuare il test di confromità per dei server DNS che NON sono ancora riconosciuti dal Registro come autoritativi...
Se voi conoscete qualche tool diagnostico valido e che risolva questo problema, pls segnalatemelo nei commenti.

Per quanto tempo il nic.it testerà i server DNS prima di bocciarli?

Per cinque giorni.
Se al termine dei cinque giorni i nuovi server DNS non avranno superato il test, la richiesta verrà cancellata.

Ma perché i miei server DNS funzionano benissimo per i gTLD e danno problemi solo con i .it?

Semplice. Per i gTLD non viene effettuato NESSUN test: quindi, i server DNS possono essere malconfigurati, non rispondere, o anche non esistere proprio... e nessuno se ne accorgerà (tranne, ovviamente, chi cercherà il tuo sito).
Ma il Registro non recriminerà certamente.
Viceversa, per i .it il nic.it pretende (giustamente) che i server DNS siano perfettamente configurati.
Quindi, non è che "danno problemi solo per i .it": il problema c'è per tutti i domini gestiti attraverso quei DNS, solo che magari non ce se ne accorge... ma il problema c'è e resta, e magari si tradurrà in saltuari ed apparentemente casuali problemi di propagazione, o da altri ed apparentemente casuali che poi tenderemo a sottovalutare... "Capitano solo a te, nessun altro segnala problemi del genere..."