DNS: как доменное имя связано с сетевыми ресурсами

Зачем нужен DNS

Компьютеры в интернете находят друг друга по IP-адресам — наборам чисел вроде 192.0.2.1. IP — это Internet Protocol, межсетевой протокол: по этим адресам сеть доставляет данные. Человеку удобнее слова: example.com запомнить проще. DNS связывает одно с другим: по доменному имени находит IP-адрес сервера, на котором работает сайт. Получив его, браузер знает, куда подключаться.

Главная функция системы — именно этот перевод. Он позволяет перенести сайт на новый сервер и не менять имя, которое знают посетители: при смене IP-адреса меняют адресные записи домена.

DNS — часть инфраструктуры интернета и используется не только для сайтов. Система помогает доставлять электронную почту и хранит служебную информацию о домене. Без DNS не обходятся приложения и сервисы, которым нужно найти друг друга: к ресурсам сети они тоже обращаются по именам.

До появления DNS соответствия вели вручную: все имена и адреса лежали в одном файле, который каждой машине в сети нужно было копировать с центрального узла. Когда сеть выросла, рассылка файла стала слишком тяжёлой, и в 1980-х годах её заменила распределённая система.^[1][18]

Как устроено доменное имя

Доменное имя состоит из нескольких частей, разделённых точками, и читается справа налево. Части — это уровни иерархии.

• Корень. На вершине находится корневая зона. Её обозначение пустое, поэтому в адресе его не пишут.
• Верхний уровень (TLD, top-level domain), например .ru, .com, .org, .net. Такие зоны бывают национальными, как .ru, и общими, как .com.
• Второй уровень: example в адресе example.com. Обычно именно его регистрируют для сайта.
• Третий уровень: mail.example.com. Это поддомен example.com, его создаёт сам владелец сайта.

Такую иерархическую структуру изображают в виде дерева. Его делят на зоны: серверы зоны хранят её записи и указывают серверы поддоменов, переданных в отдельные зоны.^[1][4][18]

Что происходит, когда вы открываете сайт

Разберём учебный запрос к www.example.com. В примере его A-запись равна 192.0.2.80; это документационное значение, а не адрес действующего сервера. Запрос A означает: «какой IPv4-адрес связан с этим именем?» Запрос AAAA отдельно спрашивает адрес IPv6.

Сначала браузер передаёт имя системному резолверу — компоненту устройства, который получает DNS-ответ для программ. Если в локальном кэше есть ещё действующий ответ или соответствие в hosts, система может сразу вернуть его. Иначе она обращается к настроенному рекурсивному резолверу, например серверу провайдера.

Рекурсивный резолвер тоже проверяет свой кэш. При промахе он ищет ответ по цепочке: корневой сервер указывает серверы зоны .com; сервер .com направляет к авторитетным серверам example.com; авторитетный сервер возвращает запрошенную A-запись. Корневой сервер не знает IP сайта — он даёт следующий адрес для поиска. В реальности резолвер может уже иметь свежие сведения о промежуточных серверах и начать ближе к нужной зоне.

Получив ответ, рекурсивный резолвер сохраняет его на время TTL и передаёт устройству. Браузер использует 192.0.2.80 для подключения. Такой разбор показывает порядок действий, а не живое разрешение имени: зарезервированные адрес и домен приведены только для обучения.^{[1][2][21][22]}

Какие бывают DNS-серверы

Источники: ^{[3][4][10][15]}

Что делает DNS устойчивым к сбоям

У системы нет единой точки, от которой зависит всё. Любую зону обслуживают несколько серверов: основной, на котором меняют данные, и вторичные, которые получают с него копию данных. Если один перестал работать, резолвер отправит запрос следующему.

В крупных DNS-сервисах применяется ещё один приём — anycast: один и тот же адрес обслуживается из многих точек мира, и запрос попадает в одну из них. Это распределяет нагрузку и помогает сохранять доступность сервиса при сбоях. Anycast может ограничить воздействие атаки частью узлов, но результат зависит от маршрутизации и мощности атаки; ускорение ответа тоже не гарантировано.^[1][4][17]

Основные DNS-записи

Источники: ^{[1][2][5][6][16][18][21][22][24]}

Для чего ещё используется DNS

Сайты — самый заметный, но не единственный случай. DNS используют и другие службы.

• Электронная почта. Почтовый сервис отправителя запрашивает MX-записи домена и узнаёт, куда доставить письмо.
• Защита от спама и поддельных писем. В TXT-записях владелец домена публикует, каким серверам разрешено отправлять почту от его имени (SPF), и ключ для проверки подписи писем (DKIM).
• Внутренние сети. В корпоративной сети свой DNS-сервер хранит имена внутренних ресурсов, например рабочих сервисов компании. Один и тот же домен может давать разные ответы на запросы изнутри и снаружи.
• Обратный поиск. По IP-адресу можно узнать, какому домену он соответствует, если для адреса заведена такая запись.^{[1][4][6][16]}

Кэширование и TTL: почему изменения видны не сразу

Резолвер временно хранит ответ, чтобы не повторять поиск при каждом обращении. TTL (time to live, время жизни) задаёт срок, в течение которого запись может оставаться в кэше; оставшийся TTL уменьшается по мере хранения. В обычном режиме после истечения срока резолвер снова запрашивает данные при следующем обращении. Некоторые резолверы могут применять serve-stale и при сбое временно отдать устаревший ответ.

Поэтому смена записи видна не всем одновременно: авторитетная зона уже может отдавать новый адрес, а кэш ещё хранит старую копию. Каждый кэш отсчитывает свой TTL от момента получения ответа.^{[1][2][20][25]}

Где настраивают DNS-записи домена

Записи хранятся у DNS-хостинга — компании, на чьих серверах лежит зона домена. Часто эту услугу предоставляет регистратор, у которого зарегистрирован адрес сайта, или хостинг-провайдер, у которого размещён сайт. Есть и отдельные сервисы управления DNS.

В панели управления владелец может создать или изменить запись: указать IP-адрес сервера с сайтом, почтовый сервер, добавить текст. При настройке обычно указывают имя, тип, значение и время жизни (TTL). В стандарте такие записи называют ресурсными (resource records). У домена может быть много записей, в том числе несколько одного типа: например, две MX-записи для основного и запасного почтового сервера. От этих настроек зависит работа сайта и почты.

Какие серверы DNS отвечают за домен, определяют NS-записи. Чтобы передать управление новому хостингу, у регистратора указывают серверы DNS этого хостинга. Такая передача называется делегированием: родительская зона сообщает, где искать информацию о зоне уровнем ниже.^[4][10]

Какой DNS-сервер использует ваше устройство

Для работы в интернете устройству нужен адрес хотя бы одного DNS-сервера. По умолчанию компьютер и телефон обращаются к серверу провайдера: настройки приходят автоматически при подключении к интернету. Их можно поменять вручную — в сетевых настройках операционной системы или в роутере.

Вместо провайдерского можно использовать публичный DNS-сервис. Например, у Google Public DNS несколько адресов, в том числе 8.8.8.8 и 8.8.4.4. Такие сервисы принимают запросы от любых пользователей интернета.^[4][14]

Как проверить работу DNS и что делать при сбое

Получить информацию о записях домена можно с помощью командной строки.

• В Windows используется nslookup: команда nslookup example.com показывает IP-адрес, а параметр -type=MX — почтовые записи. Вторым параметром можно указать, какому DNS-серверу задать вопрос.
• Второй инструмент — dig из набора BIND 9. Запрос состоит из сервера, имени и типа. Режим +trace показывает весь путь от корневых серверов до сервера, где хранятся записи сайта.

Одна из причин разных ответов — недавно изменённая запись, старая копия которой ещё хранится в кэше. Возможны и разные настройки ответов для разных сетей.

Если браузер не может найти сайт, а интернет работает, проблема может быть в DNS. Что можно сделать:

1. Проверить сайт той же командой или открыть его в браузере на другом устройстве.
2. Очистить локальный кэш. В Windows для этого есть команда ipconfig /flushdns.
3. Указать в настройках сети другой DNS-сервер, например публичный.^{[11][12][13][14][9]}

Безопасность DNS: угрозы и защита

Представьте, что устройство в кафе спрашивает обычный DNS-резолвер, где находится www.example.com. При незашифрованном DNS наблюдатель на пути может прочитать имя в запросе; при подмене ответа он может попытаться направить устройство на другой адрес. Это не означает, что любой участник сети обязательно перехватит запрос или что подмена всегда сработает.

DNSSEC решает другую задачу: резолвер проверяет подписи и цепочку доверия, чтобы убедиться, что полученные данные DNS происходят из подписанной зоны и не были изменены. DNSSEC не скрывает имя запроса и не доказывает, что сам сайт безопасен: он подтверждает данные доменной зоны.

DoT и DoH шифруют канал между клиентом и выбранным рекурсивным резолвером — например, Wi-Fi-наблюдатель не читает имя из этого обмена. Но выбранный резолвер продолжает видеть запрос, а шифрование канала само по себе не проверяет подлинность DNS-данных. Поэтому шифрование DoT/DoH и проверка данных DNSSEC дополняют друг друга; это разные свойства и границы защиты.^[8][9][23]

Частые ошибки

• Заблуждение

  DNS содержит только IP-адреса сайтов.

  Как на самом деле

  IP-адрес — главное, но не единственное, что есть в DNS. Там же хранится информация о почтовом сервере домена, его DNS-серверах и псевдонимах. Запрос включает имя и тип нужной записи.^[1]

• Заблуждение

  Запись поменяли — значит, новый адрес сразу видят все.

  Как на самом деле

  Старые копии живут у резолверов и на устройствах, пока не истечёт TTL, и до тех пор часть пользователей попадает по старому адресу. Так задумано: доступность информации в системе важнее мгновенного обновления всех копий.^[1]

• Заблуждение

  Где-то есть главный сервер, на котором хранятся все доменные имена.

  Как на самом деле

  Единой базы нет. DNS-сервер содержит полные данные только о своих зонах, а об остальных знает, к кому отослать. Каждая зона должна быть доступна не меньше чем на двух серверах.^[1][19]

• Заблуждение

  Домен и зона — одно и то же.

  Как на самом деле

  Домен — это имя вместе со всем, что лежит под ним в иерархии. Зона — та его часть, которой управляют как единым целым. Поддомен, переданный в управление другой организации, остаётся частью домена, но образует отдельную зону.^[1]

Вопросы и ответы

Источники: ^{[1][2][3][4][10][14]}