Czym jest DNS?

DNS (Domain Name System) to rozproszony system nazw, dzięki któremu aplikacje odnajdują zasoby w sieci. Nazwa strony może wskazywać adresy IPv4 lub IPv6, a inne rekordy kierują pocztę e-mail albo wskazują autorytatywne serwery nazw. Domena wcale nie musi prowadzić do jednego serwera.

Jak przebiega zapytanie DNS

Urządzenie zwykle wysyła zapytanie do resolvera rekurencyjnego. Jeśli resolver nie ma jej w pamięci podręcznej, podąża za delegacją DNS: od serwerów głównych, przez domenę najwyższego poziomu, aż do serwerów autorytatywnych odpowiedzialnych za daną nazwę. Serwer autorytatywny publikuje dane strefy, a resolver przekazuje klientowi właściwą odpowiedź. Rejestrator i operator DNS mogą być różnymi firmami.

Resolver przechowuje odpowiedzi w pamięci podręcznej przez czas związany z TTL (time to live) każdego rekordu. Może też buforować niektóre odpowiedzi negatywne. Dlatego krótko po dodaniu lub zmianie rekordu różni użytkownicy mogą widzieć różne wyniki. Zmiana serwerów nazw u rejestratora zmienia delegację, a edycja rekordu A na dotychczasowych serwerach autorytatywnych zmienia dane strefy. To dwie odrębne operacje.

Najczęstsze rekordy DNS

Rekord A wiąże nazwę z adresem IPv4, a rekord AAAA z adresem IPv6. MX wskazuje serwery poczty, NS autorytatywne serwery nazw, CNAME tworzy alias nazwy, a TXT przenosi tekst używany m.in. do weryfikacji domeny lub uwierzytelniania poczty. Zawsze sprawdzaj konkretny typ rekordu: działający rekord MX nic nie mówi o tym, czy strona jest osiągalna.

Przy przenoszeniu strony może wystarczyć aktualizacja rekordów adresowych. Jeśli zmieniasz też dostawcę DNS, przed przełączeniem delegacji skopiuj potrzebne rekordy MX, TXT i pozostałe. Brak rekordów pocztowych może przerwać dostarczanie poczty, nawet jeśli strona się otwiera. Sama odpowiedź DNS opisuje wyłącznie dane o nazwach; nie dowodzi, że serwer przyjmuje połączenia, ma ważny certyfikat TLS czy że aplikacja działa poprawnie.

Prywatność i DNSSEC

Tradycyjne zapytania DNS między klientem a resolverem zazwyczaj nie są szyfrowane. DNS over HTTPS i DNS over TLS szyfrują ten odcinek drogi, choć wybrany resolver nadal widzi obsługiwane przez siebie zapytania. DNSSEC uwierzytelnia podpisane dane DNS, jeśli łańcuch zaufania jest poprawny; nie szyfruje zapytania i nie sprawia, że strona staje się bezpieczna. Te mechanizmy rozwiązują różne problemy.

Diagnozowanie krok po kroku

Jeśli nowa strona się nie otwiera, sprawdź jej rekordy A i AAAA oraz ustal autorytatywne serwery nazw. Porównaj ich odpowiedzi z odpowiedziami jednego lub kilku resolverów rekurencyjnych. Jeśli serwer autorytatywny zwraca już nową wartość, a resolver starą, najpewniej winna jest pamięć podręczna. Jeśli błędna jest odpowiedź autorytatywna, sprawdź strefę i delegację. Do zgłoszenia w pomocy technicznej zapisz dokładną nazwę, typ rekordu, resolver i godzinę.

Gdy DNS zwraca oczekiwany adres, osobno zbadaj kolejną warstwę: osiągalność w sieci, odpowiedź serwera, TLS i błędy aplikacji. Dzięki takiej kolejności nie zmienisz poprawnych rekordów DNS, próbując naprawić problem z serwerem WWW. Podstawy protokołu opisują RFC 1034 i RFC 1035.

Prywatność resolvera i wycieki DNS

DoH lub DoT szyfruje odcinek od klienta do resolvera, ale wybór resolvera to osobna kwestia. Przeglądarka, system operacyjny i VPN mogą korzystać z różnych ustawień. Sprawdź, co sprawdza test wycieku DNS, i przeczytaj porównanie DoH i DoT.