Что такое резолвер DNS

Обновлено: 02.07.2024

Сервер доменных имен (DNS) — это стандартный протокол, который помогает пользователям Интернета находить веб-сайты, используя удобочитаемые адреса. Подобно телефонной книге, которая позволяет вам найти имя человека и узнать его номер, DNS позволяет вам ввести адрес веб-сайта и автоматически определить адрес Интернет-протокола (IP) для этого веб-сайта.

Без DNS Интернет рухнет — люди и машины не смогут получить доступ к интернет-серверам через знакомые им понятные URL-адреса.

Распространение DNS

В отличие от телефонной книги, записи DNS обычно обновляются, а это означает, что IP-адрес сервера может измениться, не затрагивая конечных пользователей. Пользователи продолжают использовать то же доменное имя и автоматически перенаправляются на новый адрес. Запись DNS A или AAAA указывает домен или субдомен на IP-адрес, а запись CNAME указывает домен или субдомен на другое доменное имя.

После регистрации нового доменного имени или обновления DNS-серверов для вашего доменного имени обычно требуется от 12 до 36 часов, чтобы серверы доменных имен по всему миру обновились и получили доступ к информации. Этот период называется распространением. Благодаря технологии DNS следующего поколения время распространения можно сократить до минут или секунд.

DNS позволяет нескольким именам хостов соответствовать одному IP-адресу. Это можно использовать для виртуального хостинга, когда множество веб-сайтов обслуживаются с одного хоста. Одно имя хоста также может разрешаться во множество IP-адресов для распределения нагрузки на несколько серверов.

Разрешение DNS

Обычно, когда вы подключаетесь к локальной сети, поставщику услуг Интернета (ISP) или сети Wi-Fi, модем или маршрутизатор отправляет на ваше локальное устройство информацию о конфигурации сети, включая один или несколько DNS-серверов. Это исходные DNS-серверы, которые ваше устройство будет использовать для преобразования имен хостов в IP-адреса.

Компонент, называемый DNS Resolver, отвечает за проверку доступности имени хоста в локальном кэше, а если нет, то связывается с несколькими серверами DNS-имен, пока в конечном итоге не получит IP-адрес веб-сайта или службы, которую вы пытаетесь получить. достигать. Если все работает хорошо, это может занять меньше секунды. Этот процесс известен как DNS-преобразование имени хоста в IP-адрес.

Использование DNS

Классическое использование DNS заключается в преобразовании имени домена в URL-адресе в соответствующий IP-адрес. Но у DNS гораздо больше применений — он лежит в основе многих других форм интернет-коммуникаций.

Для чего используется DNS?

Разрешение имен сайтов World Wide Web (WWW)
Направление сообщений на почтовые серверы и службы веб-почты
Подключение серверов приложений, баз данных и промежуточного ПО в веб-приложении
Виртуальные частные сети (VPN)
Программы однорангового обмена
Многопользовательские игры
Службы обмена мгновенными сообщениями и онлайн-конференций
Связь между IoT-устройствами, шлюзами и серверами

Если вы используете какой-либо из вышеперечисленных сервисов, вы, вероятно, будете использовать DNS для связи с ним.

Если вы владеете или управляете чем-либо из вышеперечисленного, например, если вы владеете веб-сайтом или разрешаете VPN-доступ к сети вашей компании, вам потребуется настроить DNS, чтобы разрешить пользователям доступ к вашей службе.

Использование DNS нового поколения

За последние 20 лет DNS развивалась. Службы DNS следующего поколения, такие как NS1, которые обеспечивают расширенные возможности маршрутизации трафика, создали новые возможности использования DNS:

- быстрая маршрутизация соединений между глобально распределенными центрами обработки данных - маршрутизация пользователей в сеть CDN, обеспечивающую наилучшие возможности - определение физического местоположения каждого пользователя и обеспечение его маршрутизации к ближайшему возможному ресурсу - контролируемое перемещение трафика из исходные ресурсы в облачные ресурсы — снижение перегрузки сети и обеспечение оптимального потока трафика к соответствующему ресурсу

Как работает DNS — основные блоки DNS

Есть четыре основных строительных блока, обеспечивающих работу DNS:

Резолвер DNS

Распознаватель DNS может управляться локальной сетью, поставщиком услуг Интернета (IP), оператором мобильной связи, сетью WIFI или другой третьей стороной. Преобразователь начинает с просмотра своего локального кеша или кэша операционной системы на локальном устройстве — если имя хоста найдено, оно немедленно разрешается.

Если он не найден, сопоставитель связывается с корневым сервером DNS и получает сведения о сервере имен TLD. Через сервер имен TLD он получает сведения об авторитетном сервере имен и запрашивает у него IP-адрес, соответствующий запрошенному имени хоста. Когда он получает IP-адрес, запрос разрешается.

Корневой DNS-сервер

В мире насчитывается 13 логических корневых серверов, обозначенных буквами от A до M, которые управляются такими организациями, как Verisign, Cogent, Мэрилендский университет и Исследовательская лаборатория армии США.

Сервер доменных имен

Авторитетный сервер имен

Авторитетный сервер имен является последней остановкой в запросе сервера имен. Авторитетный сервер имен принимает доменное имя и поддомен и, если у него есть доступ к записям DNS, возвращает корректный IP-адрес DNS-преобразователю.

По мере развития Интернета первоначальный стандарт IP-адресов IPv4 (который позволял использовать только до 4,3 миллиарда IP-адресов) заменяется на IPv6 (который поддерживает до 3,4 × 10^38 IP-адресов). DNS-серверы все чаще возвращают IP-адреса в формате IPv6.

Авторитетные серверы имен организованы с использованием зон DNS. Каждая зона DNS имеет закрытый набор полномочных серверов имен. Их называют «авторитетными», потому что они могут дать авторитетный и правильный ответ относительно текущего IP-адреса для определенного домена.

Краткое описание процесса DNS — пример DNS

Как работает DNS

В этом разделе мы подробнее расскажем о скрытой работе DNS.

Типы DNS — 3 типа запросов DNS

Рекурсивный запрос. В рекурсивном запросе DNS-клиент требует, чтобы DNS-сервер (обычно рекурсивный преобразователь DNS) отвечал клиенту либо запрошенной записью ресурса, либо сообщением об ошибке, если он не может найти запись.< /li>
Итеративный запрос. DNS-клиент позволяет DNS-серверу возвращать лучший из возможных ответов. Если запрашиваемый DNS-сервер не соответствует имени хоста, он возвращает ссылку на авторитетный DNS-сервер на более низком уровне иерархии DNS. Затем DNS-клиент делает запрос к реферальному адресу. Этот процесс продолжается с дополнительными DNS-серверами в цепочке запросов до тех пор, пока не произойдет ошибка или истечет время ожидания.
Нерекурсивный запрос — это происходит, когда преобразователь DNS запрашивает у сервера имен DNS запись, либо потому, что сервер имен является полномочным для записи, либо запись существует в его кэше. DNS-серверы обычно кэшируют записи DNS, чтобы сохранить полосу пропускания и снизить нагрузку на серверы, расположенные выше по иерархии.

Кэширование DNS и время жизни

Из-за масштабов Интернета недостаточно иметь систему полномочных серверов имен и направлять каждого клиента к правильному серверу имен. При работе только полномочных серверов имен каждый DNS-запрос должен начинаться с рекурсивного запроса в корне системы DNS, что создаст огромную нагрузку на корневые серверы DNS.

Для повышения эффективности, сокращения DNS-трафика через Интернет и повышения производительности используются DNS-кэш-серверы. Эти серверы сохраняют результаты DNS-запросов в кэше и могут сразу обслуживать их в ответ на запрос, не требуя рекурсивных DNS-запросов.

Записи DNS хранятся в кэше в течение периода времени, который называется временем жизни и определяется в конфигурации каждой записи DNS. Время жизни очень важно, потому что оно определяет «свежесть» записей DNS. Кэширование не будет эффективным, если пользователи получают устаревшие данные DNS, а IP-адреса хостов уже изменились.

Записи DNS могут кэшироваться на нескольких уровнях:

Кэширование DNS в браузере. Современные веб-браузеры предназначены для кэширования записей DNS. Это позволяет немедленно предоставлять IP-адрес в ответ на запрос пользователя без необходимости обращения к внешним DNS-серверам. Когда делается запрос на запись DNS, кеш браузера является первым местом, которое проверяется на наличие запрошенной записи.
Кэширование DNS в операционной системе: все операционные системы поставляются с преобразователями DNS, называемыми «резольверами-заглушками», которые являются вторым местом, где DNS-запрос может быть разрешен до того, как он покинет локальное устройство. Когда приложение делает запрос, преобразователь-заглушка проверяет свой собственный кэш, чтобы увидеть, есть ли у него запись. Если это не так, он отправляет DNS-запрос (с установленным рекурсивным флагом) на преобразователь DNS в локальной сети, управляемый поставщиком услуг Интернета (ISP) и т. д.
Кэширование DNS рекурсивного распознавателя. Как мы обсуждали выше, распознаватель DNS, управляемый третьей стороной, получает DNS-запросы и проверяет свой локальный кеш, чтобы узнать, есть ли уже IP-адрес запрошенного хоста.

На всех уровнях кэширования DNS, если преобразователь не имеет записей A для запроса (другими словами, конкретных IP-адресов), но имеет записи NS для полномочных серверов имен, он запрашивает серверы имен напрямую. , без выполнения рекурсивного запроса. Это предотвращает поиск с корневых серверов DNS и серверов имен TLD и помогает гораздо быстрее разрешать запросы DNS.

Типы записей DNS

Ресурсные записи DNS (RR) являются основными информационными элементами системы доменных имен. Это записи в базе данных DNS, которые предоставляют информацию о хостах. Записи физически хранятся в файлах зон на DNS-сервере.

Следующие являются общими записями DNS:

Записи сопоставления адресов (A) — записи, содержащие имя хоста и соответствующий ему адрес IPv4.
Записи адресов IP версии 6 (AAAA) — записи, содержащие имя хоста и соответствующий ему адрес IPv6.
Записи канонических имен (CNAME) — используются для создания псевдонимов доменных имен. Может использоваться для создания псевдонима домена для другого домена.
Запись почтового обменника (MX) — указывает сервер обмена почтой для доменного имени, используемого в протоколе SMTP для маршрутизации сообщений электронной почты на правильный почтовый сервер.
Записи сервера имен (NS) — делегируют зону DNS для использования определенного авторитетного сервера имен.
Записи указателей обратного просмотра (PTR) — используются для поиска доменных имен на основе IP-адреса.
Запись сертификата (CERT) — хранит сертификаты шифрования, такие как PKIX, SPKI, PGP и т. д.
Местоположение службы (SRV) — запись местоположения службы, как MX, но для других, более новых протоколов.

Протокол DNS

Протокол DNS использует два типа сообщений DNS: запросы и ответы. Как запросы, так и ответы состоят из заголовка и четырех разделов: вопрос, ответ, полномочия и дополнительный пробел:

Раздел заголовка содержит идентификатор, используемый для сопоставления ответов с запросами; Флаги; Количество вопросов; количество ответов; Количество записей авторитетных ресурсов (RR); и Количество дополнительных записей ресурсов.
Поле флага содержит разделы из одного или четырех битов, указывающие, является ли сообщение запросом или ответом; является ли текущий пакет ответом, статусом или запросом; является ли DNS-сервер авторитетным; хочет ли клиент отправить рекурсивный запрос ("RD"); поддерживает ли DNS-сервер рекурсию; был ли запрос усечен ("ТС"); и четыре бита в конце, обозначающие статус.
Раздел вопросов содержит доменное имя и тип разрешаемой записи (A, AAAA, MX, TXT и т. д.). Доменное имя разбито на ярлыки, каждый из которых имеет префикс длины этого ярлыка.
В разделе ответов есть записи ресурсов запрашиваемого имени. Доменное имя может встречаться в нескольких записях, если с ним связано несколько IP-адресов.

Транспорт протокола

DNS в основном использует протокол пользовательских дейтаграмм (UDP) на порту 53 для обслуживания запросов. Запросы DNS состоят из одного запроса UDP от клиента, за которым следует один ответ UDP от сервера. Протокол управления передачей (TCP) используется, когда размер данных ответа превышает 512 байт или для передачи зоны. Некоторые распознаватели DNS используют TCP для связи.

Формат записи DNS

Каждая запись ресурса DNS состоит из следующих полей:

Поле

Описание

Длина (октеты)

Имя узла, к которому относится эта запись

Тип RR в числовом виде (например, 15 для MX RR)

Количество секунд, в течение которых RR остается действительным (максимум – 231–1, что составляет около 68 лет)

Длина поля RDATA (указывается в октетах)

Дополнительные данные, относящиеся к RR. Например, в записи A это поле содержит IP-адрес хоста.

Инструменты

Система доменных имен (DNS) является одной из основ Интернета, однако большинство людей, не связанных с сетями, вероятно, не осознают, что используют ее каждый день для выполнения своей работы, проверки электронной почты или траты времени на смартфоны.

По сути, DNS – это каталог имен, совпадающих с числами. Числа в данном случае — это IP-адреса, которые компьютеры используют для связи друг с другом. В большинстве описаний DNS используется аналогия с телефонной книгой, что подходит для людей старше 30 лет, которые знают, что такое телефонная книга.

Если вам меньше 30 лет, подумайте о DNS как о списке контактов вашего смартфона, в котором имена людей сопоставляются с их номерами телефонов и адресами электронной почты. Затем умножьте этот список контактов на всех остальных на планете.

Краткая история DNS

Очевидно, что это была неприемлемая ситуация по мере роста Интернета, не в последнюю очередь потому, что Feinler обрабатывал запросы только до 18:00. по калифорнийскому времени и взял отпуск на Рождество. В 1983 году Полу Мокапетрису, исследователю Университета Южной Калифорнии, было поручено найти компромисс между многочисленными предложениями по решению проблемы. Он практически проигнорировал их все и разработал свою собственную систему, которую назвал DNS. Хотя с тех пор он, очевидно, сильно изменился, на фундаментальном уровне он по-прежнему работает так же, как и почти 40 лет назад.

Как работают DNS-серверы

Каталог DNS, имя которого совпадает с номером, не находится в одном месте в каком-то темном уголке Интернета. С учетом того, что на конец 2017 года было зарегистрировано более 332 миллионов доменных имен, один каталог был бы действительно очень большим. Как и сам Интернет, каталог распространяется по всему миру и хранится на серверах доменных имен (обычно называемых для краткости DNS-серверами), которые регулярно взаимодействуют друг с другом для предоставления обновлений и избыточности.

Авторитетные DNS-серверы и рекурсивные DNS-серверы

Когда вашему компьютеру требуется найти IP-адрес, связанный с доменным именем, он сначала отправляет запрос рекурсивному DNS-серверу, также известному как рекурсивный преобразователь. Рекурсивный преобразователь — это сервер, который обычно управляется интернет-провайдером или другим сторонним провайдером, и он знает, какие другие DNS-серверы ему нужно запрашивать, чтобы разрешить имя сайта с его IP-адресом. Серверы, на которых действительно есть необходимая информация, называются авторитетными DNS-серверами.

DNS-серверы и IP-адреса

Еще одна причина распределенного характера каталога – время, которое потребовалось бы для получения ответа при поиске сайта, если бы для каталога существовало только одно местоположение, доступное миллионам, а возможно, и миллиардам пользователей. , людей, одновременно ищущих информацию. Это одна длинная очередь, чтобы воспользоваться телефонной книгой.

Что такое кэширование DNS?

Как мне найти свой DNS-сервер?

Могу ли я использовать DNS 8.8.8.8?

Однако важно помнить, что хотя ваш интернет-провайдер установит DNS-сервер по умолчанию, вы не обязаны его использовать. У некоторых пользователей могут быть причины избегать DNS своего интернет-провайдера — например, некоторые интернет-провайдеры используют свои DNS-серверы для перенаправления запросов на несуществующие адреса на страницы с рекламой.

Если вам нужна альтернатива, вы можете вместо этого указать свой компьютер на общедоступный DNS-сервер, который будет действовать как рекурсивный преобразователь. Одним из самых известных общедоступных DNS-серверов является сервер Google; его IP-адрес 8.8.8.8. Службы Google DNS, как правило, работают быстро, и, хотя есть определенные вопросы о скрытых мотивах Google для предоставления бесплатной услуги, они не могут получить от вас больше информации, чем они уже получают от Chrome. У Google есть страница с подробными инструкциями по настройке компьютера или маршрутизатора для подключения к DNS Google.

Как DNS повышает эффективность

Поскольку DNS работает уже более 30 лет, большинство людей считают это само собой разумеющимся. Безопасность также не учитывалась при создании системы, поэтому хакеры в полной мере воспользовались этим, создавая различные атаки.

Атаки отражения DNS

Атаки отражения DNS могут завалить жертв большим объемом сообщений с серверов преобразователя DNS. Злоумышленники запрашивают большие файлы DNS со всех открытых преобразователей DNS, которые они могут найти, и делают это, используя поддельный IP-адрес жертвы. Когда резолверы отвечают, жертва получает поток незапрошенных данных DNS, которые перегружают ее компьютеры.

Отравление кеша DNS

Отравление кеша DNS может перенаправить пользователей на вредоносные веб-сайты. Злоумышленникам удается вставлять записи ложных адресов в DNS, поэтому, когда потенциальная жертва запрашивает разрешение адреса для одного из зараженных сайтов, DNS отвечает IP-адресом другого сайта, контролируемого злоумышленником. Оказавшись на этих фальшивых сайтах, жертвы могут быть обманом выданы с паролем или подвергнуты загрузке вредоносного ПО.

Исчерпание ресурсов DNS

Атаки с исчерпанием ресурсов DNS могут засорить инфраструктуру DNS интернет-провайдеров, блокируя доступ клиентов интернет-провайдеров к сайтам в Интернете. Это может быть сделано путем регистрации злоумышленниками доменного имени и использования сервера имен жертвы в качестве полномочного сервера домена. Поэтому, если рекурсивный преобразователь не может предоставить IP-адрес, связанный с именем сайта, он запросит имя сервера жертвы. Злоумышленники генерируют большое количество запросов для своего домена и добавляют несуществующие поддомены для загрузки, что приводит к тому, что сервер имен жертвы получает поток запросов на разрешение, перегружая его.

Что такое DNSSec?

Расширения безопасности DNS — это попытка сделать обмен данными между различными уровнями серверов, участвующих в поиске DNS, более безопасным. Он был разработан Интернет-корпорацией по присвоению имен и номеров (ICANN), организацией, отвечающей за систему DNS.

ICANN стало известно о недостатках связи между серверами каталогов верхнего, второго и третьего уровней DNS, которые могут позволить злоумышленникам перехватить поиск. Это позволит злоумышленникам отвечать на запросы о поиске законных сайтов с IP-адресом вредоносных сайтов. Эти сайты могут загружать пользователям вредоносные программы или проводить фишинговые и фарминговые атаки.

DNSSEC решит эту проблему, заставив каждый уровень DNS-сервера подписывать свои запросы цифровой подписью, что гарантирует, что запросы, отправленные конечными пользователями, не будут присвоены злоумышленниками. Это создает цепочку доверия, так что на каждом этапе поиска проверяется целостность запроса.

Кроме того, DNSSec может определить, существуют ли доменные имена, и, если они не существуют, он не позволит доставить этот мошеннический домен невиновным запрашивающим сторонам, которые хотят разрешить доменное имя.

По мере того, как создается все больше доменных имен и все больше устройств продолжают подключаться к сети через устройства Интернета вещей и другие «умные» системы, а также по мере того, как все больше сайтов переходят на IPv6, будет требоваться поддержание здоровой экосистемы DNS. Рост объемов больших данных и аналитики также приводит к увеличению потребности в управлении DNS.

SIGRed: обнаружена уязвимость DNS-червей

Недавно мир внимательно изучил тот хаос, который могут вызвать слабые места в DNS после обнаружения уязвимости в DNS-серверах Windows. Потенциальная дыра в безопасности, получившая название SIGRed, требует сложной цепочки атак, но может использовать неисправленные DNS-серверы Windows для потенциальной установки и выполнения произвольного вредоносного кода на клиентах. Кроме того, эксплойт является «червячным», что означает, что он может распространяться с компьютера на компьютер без вмешательства человека. Уязвимость была сочтена настолько тревожной, что федеральным агентствам США дали всего несколько дней на установку исправлений.

Это решение вызывает споры. Пол Викси, который сделал большую часть ранней работы над протоколом DNS еще в 1980-х годах, называет этот шаг «катастрофой» для безопасности: например, корпоративным ИТ-специалистам будет гораздо труднее отслеживать или направлять трафик DoH, который проходит через их сеть. Тем не менее, Chrome вездесущ, и DoH скоро будет включен по умолчанию, так что посмотрим, что нас ждет в будущем.

(Кейт Шоу бывший старший редактор Network World и отмеченный наградами писатель, редактор и обозреватель продуктов, который написал для многих публикаций и веб-сайтов по всему миру.)

(Джош Фрулингер — писатель и редактор, проживающий в Лос-Анджелесе.)

Присоединяйтесь к сообществам Network World на Facebook и LinkedIn, чтобы комментировать самые важные темы.

Преобразователь DNS, также известный как преобразователь, представляет собой сервер в Интернете, который преобразует доменные имена в IP-адреса.

Обычно преобразователь является частью более крупной децентрализованной DNS (системы доменных имен). Когда вы отправляете свой запрос DNS-преобразователю, преобразователь обращается к другим серверам в DNS, чтобы получить адрес, а затем отправляет вам ответ.

Резолвер DNS, с которым связывается ваш компьютер, обычно выбирается вашим интернет-провайдером (интернет-провайдером). Однако при желании вы можете настроить свою сеть на использование другого поставщика DNS. Эту конфигурацию можно изменить в сетевых настройках операционной системы или в интерфейсе администрирования маршрутизатора домашней сети.

Как изменить преобразователь DNS

Каждый сетевой адаптер на вашем компьютере (например, Ethernet и Wi-Fi) может иметь собственную настройку преобразователя DNS. Значение по умолчанию — «Получить DNS-сервер автоматически». С этим параметром подключения к этому сетевому адаптеру используют адреса DNS-серверов, настроенные на вашем домашнем маршрутизаторе.

Чтобы использовать другой DNS, вы должны знать IP-адрес(а) этого DNS.

Список альтернативных провайдеров DNS и инструкции по их использованию см. в разделе Как изменить DNS-адрес компьютера.

Зачем вам нужен преобразователь DNS

Каждому доменному имени в Интернете соответствует один или несколько IP-адресов. Эти адреса могут измениться в любое время, но доменное имя никогда не меняется. Система доменных имен представляет собой актуальный индекс этих IP-адресов. Сопоставитель DNS – это внешняя часть этой системы, которая получает ваши запросы и отправляет вам разрешение.

Как разрешаются имена

Когда преобразователь DNS получает ваш запрос, он отправляет запросы в систему доменных имен, чтобы определить IP-адрес. Эти запросы могут быть "рекурсивными", "нерекурсивными", "итеративными" или их комбинацией.

Следующие шаги происходят в широко используемой рекурсивной системе доменных имен:

Обратите внимание, что эта полная последовательность запросов не обязательно выполняется каждый раз при отправке запроса. На каждом этапе сервер в DNS может отвечать своей кэшированной копией информации. Частота истечения срока действия этих кешей и обновления информации зависит от оператора DNS.

Если DNS является рекурсивным, как в этом примере, преобразователь DNS может называться рекурсором.

Читайте также: