DNS

DNS (Domain Name System) — это распределённая иерархическая система, которая сопоставляет удобные для человека имена (например, example.com) с техническими идентификаторами — IP-адресами, а также хранит другие данные (почтовые маршруты, текстовые записи, сервисы).

Протокол DNS

• Базовый протокол: DNS работает поверх UDP и TCP (порт 53).
  • UDP используется для большинства обычных запросов и ответов (быстрее и проще).
  • TCP используется, если размер ответа превышает лимит (512 байт без расширений EDNS, либо при необходимости передачи зонных данных между серверами).
• EDNS(0): расширение, которое позволяет передавать большие пакеты (до 4096 байт и более) и дополнительные опции.
• DNSSEC: надстройка для криптографической защиты данных в DNS (подпись RRsets, проверка подлинности).
• DoT / DoH: современные способы передачи DNS-запросов через защищённые каналы:
  • DNS over TLS (DoT) — TCP-порт 853, шифрование через TLS.
  • DNS over HTTPS (DoH) — поверх HTTPS (порт 443), запросы выглядят как обычный веб-трафик.

Как работает DNS (общее разрешение имени)

1. Запрос от клиента: приложение (браузер, почтовый клиент) передаёт системе имя для разрешения.
2. Рекурсивный резолвер (обычно у провайдера или в локальной сети): получает запрос и ищет ответ.
   • Сначала проверяет собственный кеш.
   • Если нет ответа — идёт по цепочке делегирования.
3. Корневые серверы (Root servers): указывают на NS для нужного домена верхнего уровня (например, .com).
4. Серверы TLD (например, для .com): возвращают NS-записи для конкретного домена (example.com).
5. Авторитетные серверы домена: содержат записи (A, MX, CNAME и др.) и выдают окончательный ответ.
6. Ответ клиенту: резолвер возвращает IP или другие данные приложению.

Весь процесс обычно занимает миллисекунды, а для ускорения активно используется кеширование на разных уровнях (браузер, ОС, рекурсивные сервера).

Взаимодействие с DNS

Пользователь и администратор могут работать с DNS на разных уровнях:

• Запросы/проверка:
  • dig example.com A — запрос конкретного типа записи.
  • dig +trace example.com — полный путь разрешения имени.
  • nslookup example.com — базовый инструмент для проверки.
  • host example.com — быстрый способ проверить резолв.
• Управление зонами:
  • Через панели управления у регистратора или DNS-провайдера.
  • Вручную редактируя zone-файлы (если используется собственный DNS-сервер, например BIND, Knot, PowerDNS).
• Отладка сетевых сервисов:
  • Проверка MX, TXT (SPF, DKIM, DMARC).
  • Проверка SRV для VoIP/AD.
  • Проверка PTR для почтовых серверов.
• Безопасность и защита:
  • Включение DNSSEC для защиты от подмены.
  • Использование DoT/DoH для приватности клиентов.

Ключевая идея

DNS — это «телефонная книга интернета», но в отличие от простой базы данных, она:

• распределена (управление делегировано на разных уровнях),
• кешируется (ускоряет работу и снижает нагрузку),
• поддерживает разные типы данных,
• работает через UDP/TCP, а всё чаще и через защищённые протоколы DoT/DoH.

Итог:
DNS — критический протокол интернета, обеспечивающий преобразование имён в адреса и хранение метаданных. Понимание его работы необходимо для администрирования сетей, настройки сервисов и обеспечения безопасности.

Связанные заметки

• Виды DNS-записей
• Делегирование домена
• A-запись
• AAAA-запись
• CNAME-запись
• MX-запись
• NS-запись
• PTR-запись
• SOA-запись
• SRV-запись
• TXT-запись
• WHOIS