Che cos'è il DNS?

Il DNS (Domain Name System) è un sistema di nomi distribuito che aiuta le applicazioni a localizzare le risorse di rete. Il nome di un sito web può risolversi in indirizzi IPv4 o IPv6, mentre altri record instradano la posta elettronica o identificano i server dei nomi autoritativi. Un nome di dominio non deve per forza puntare a un solo server.

Come funziona una ricerca DNS

Di norma il tuo dispositivo chiede una risposta a un resolver ricorsivo. Quando il resolver non ha una risposta in cache, segue la delega DNS dalla radice attraverso il dominio di primo livello fino ai server autoritativi responsabili del nome. Il server autoritativo pubblica i dati della zona; il resolver restituisce al client la risposta pertinente. Il registrar e l'operatore DNS possono essere organizzazioni diverse.

Un resolver conserva le risposte in cache per un periodo legato al TTL (time to live) di ciascun record. Può memorizzare in cache anche alcune risposte negative. Di conseguenza, utenti diversi possono vedere risultati diversi poco dopo l'aggiunta o la modifica di un record. Cambiare i server dei nomi presso il registrar modifica la delega; modificare un record A sui server autoritativi esistenti modifica i dati della zona. Sono operazioni distinte.

Record DNS comuni

Un record A associa un nome a un indirizzo IPv4 e un record AAAA lo associa a un indirizzo IPv6. MX identifica i server di posta, NS i server dei nomi autoritativi, CNAME crea un alias di nome e TXT contiene testo usato per scopi come la verifica del dominio o l'autenticazione della posta. Controlla esplicitamente il tipo di record richiesto: un record MX funzionante non dice nulla sulla raggiungibilità di un sito web.

Quando sposti un sito, può bastare aggiornare i suoi record di indirizzo. Se cambi anche provider DNS, copia i record MX, TXT e gli altri necessari prima di cambiare la delega. La mancanza dei record di posta può interrompere la consegna anche se il sito web si apre. Una risposta DNS di per sé descrive solo dati sui nomi; non può dimostrare che un server accetti connessioni, abbia un certificato TLS valido o esegua un'applicazione funzionante.

Privacy e DNSSEC

Le query DNS tradizionali tra un client e il suo resolver in genere non sono cifrate. DNS over HTTPS e DNS over TLS cifrano quella parte del percorso, anche se il resolver selezionato può comunque vedere le query che elabora. DNSSEC autentica i dati DNS firmati quando la catena di fiducia è valida; non cifra la query né rende sicuro un sito web. Questi meccanismi risolvono problemi diversi.

Risoluzione dei problemi passo per passo

Se un nuovo sito non si apre, interroga i suoi record A e AAAA e individua i server dei nomi autoritativi. Confronta le loro risposte con quelle di uno o più resolver ricorsivi. Se la risposta autoritativa è aggiornata ma quella ricorsiva è vecchia, la causa probabile è la cache. Se la risposta autoritativa è sbagliata, controlla la zona e la delega. Per l'assistenza, annota il nome esatto, il tipo di record, il resolver e l'ora.

Dopo che il DNS restituisce l'indirizzo previsto, esamina separatamente il livello successivo: raggiungibilità della rete, risposta del server, TLS ed errori dell'applicazione. Questa sequenza evita di modificare record DNS corretti per risolvere un problema del server web. Le basi del protocollo sono documentate nelle RFC 1034 e RFC 1035.

Privacy del resolver e DNS leak

DoH o DoT cifrano il tratto tra client e resolver, ma la scelta del resolver resta una questione separata. Browser, sistema operativo e VPN possono usare impostazioni diverse. Per approfondire, leggi che cosa osserva un test di DNS leak e il confronto tra DoH e DoT.