Основы IT: DNS

DNS - Domain Name System, система доменных имён.

Иерархическая распределённая система серверов, отвечающая главным образом за трансляцию доменного имени в IP-адрес сервера. Также на DNS завязана доставка почты (домен присутствует в почтовом адресе), плюс последнее время стало крайне модно пихать всякие ключики и хэшики в TXT запись домена. Придумали это всё аж в 1984 году, сейчас этим управляет ICANN – “Корпорация по управлению доменными именами и IP-адресами.”

Доменное имя или FQDN (fully qualified domain name) в общем случае выглядит как-то так: subsubdomain.subdomain.domain.tld

Разбирается справа налево, tld – это домен первого уровня (или TLD, Top Level Domain), domain – это домен второго уровня, subdomain и subsubdomain – третьего и четвёртого соответственно, могут вообще отсутствовать. Домен должен начинаться с буквы, может содержать буквы, цифры и тире, только латиница, регистр не различается. TLD бывают:

Общие (gTLD)

1. со свободной регистрацией: .com, .net, .org, .info, .biz и .name.
2. с ограниченной регистрацией: .edu (для образовательных сайтов), .gov (для сайтов государственных организаций США), .mil (для военных организаций США), .int (для международных организаций).
3. Еще не так давно ICANN одобрило создание кучи дополнительных зон общего пользования (.xxx, .mobi, .cat и т.д.)

Национальные (ccTLD) - делегированы соответствующим национальным регистраторам, которые устанавливают правила регистрации в них либо сами, либо согласно указаниям правительства. Управляющей организацией является IANA.

• .US – Соединённые Штаты;
• .RU – Россия (нам по наследству также достался домен .SU);
• .CN – Китай;
• И т.д.

Неплохо на этом деле подзаработало небольшое островное государство Тувалу с доменом .TV

Интернационализованные домены (IDN) - доменные имена, которые содержат символы национальных алфавитов, про них отдельно и позже.

И, наконец, еще есть немного зарезервированных доменных имён.

 

Сервера доменных имён, namservers или просто NS.

Сервер, который отвечает за определённую доменную зону – содержит все записи и отвечает на DNS запросы клиентов. Корневые сервера содержат информацию о NS серверах, обслуживающих определённый TLD. NS сервер может делегировать управление частью управляемой им зоны другим серверам.

Вот как происходит полный (рекурсивный) поиск доменного имени:

Разберём этот вывод немножко подробнее:

Это мы сходили к локальному DNS серверу, и спросили у него список корневых серверов и их адреса. Потом пошли к одному из них, чтобы узнать, кто отвечает за зону .NEWS

e.root-servers.net нам ответил, что вот четыре австралийца, с них и спрашивайте. И мы пошли у них спрашивать, кто отвечает за домен второго уровня aftershock.news:

demand.alpha.aridns.net.au нам ответил, что вот имеются 5 серверов в nic.ru (это Ru-Center – среди прочего и наш национальный регистратор в зоне .RU).

И вот, наконец, один из NS Ру-центра нам ответил, что m.aftershock.news имеет IP 185.112.80.17

Теоретически, владелец домена aftershock.news мог делегировать управление зоной m.aftershock.news еще кому-то под управлением других NS, тогда в этой цепочке добавился бы еще один шаг - ns4-cloud.nic.ru нам бы ответил, кто отвечает за m.aftershock.news и мы бы сходили к нему.

Ясное дело, не гоже бегать по всем этим серверам для каждого запроса – DNS ответы кэшируются на промежуточных серверах. Предположим, я полез на АШ с мобильника, через Wi-Fi домашнего рутера. Во-первых, в веб-браузер обычно встроен свой маленький DNS cache, так же есть свой кэш и в операционной системе мобильника. Когда мой мобильник устанавливает Wi-Fi соединение с домашним рутером, он получает свой персональный IP адрес в моей локальной домашней подсети, а также в качестве DNS-сервера по умолчанию прописывается сам рутер. Поэтому, если искомого адреса не нашлось ни в локальном кэше браузера, ни в системном кэше телефона, запрос идёт к рутеру. Рутер ищет ответ в своём DNS кэше, и, если там ничего нет, даёт запрос DNS запрос моему интернет провайдеру. Что там происходит у провайдера, и сколько там еще кэширующих серверов – я не знаю, но рано или поздно где-нибудь да произойдёт рекурсивный поиск имени и информация попадёт в мой телефон, а также во все промежуточные кэши.

Адреса NS серверов обычно появляются в рутере при подключении к интернет провайдеру сами (DHCP) или прописываются руками. Технически можно прописать там и другие внешние NS, но провайдеры еще могут предоставлять какие-нибудь дополнительные сервисы в локальной сети, а также еще они очень любят резать DNS трафик к чужим серверам (53 TCP и UDP порт) – блокировка DNS, это первое, что приходит в голову в случае возникшей задолженности.

Выше была упомянута некоторая организация Ру-центр, коротко о доменных регистраторах.

Доменный регистратор (registrar) – это организация, уполномоченная добавлять и вносить изменения в соответствующую TLD зону. Ру-центр отвечает за национальные TLD .ru, .su и .рф. Также, регистраторы могут позволять (другим организациям-партнёрам регистрировать домены в своих зонах предоставляя для этого API (application programming interface - программный интерфейс приложения). По таким программам с Ру-центром работают все перепродавцы доменов в зоне .ru, а сам Ру-центр работает со сторонними регистраторами (международными и национальными) для доменов в таких зонах как .com (международная) и .tv (национальный домен Тувалу). Это не для всех так, например, в итальянском TLD .it Ру-центр регистрацию не предлагает, там могут зарегистрироваться только резиденты.

 

Чтобы программистам, ваяющим софт для регистрации доменов было не скучно, иногда домен второго уровня может сам выступать как своего рода TLD – есть стандартные коммерческие или региональные зоны, такие как .co.uk, .co.il, .spb.ru, .gov.ru и т.д.

 

Домен регистрируется сроком на 1-2 года, потом регистрация может быть продлена. При покупке домена, регистратор обычно предлагает использовать его NS и предоставляет некоторую панель для управления DNS записями в соответствующей зоне. Вообще это не обязательно, и можно для купленного домена указать свои NS.

 

Раньше было условие, что указывать нужно минимум два NS сервера, которые сами имеют IP-адрес из двух разных подсетей класса “C”. Сейчас даже это не требуется – либо можно указать один NS, либо оба NS могут работать на одном IP. Выше мы видели, что при рекурсивном поиске домена, нам отдавалось аж по 4-5 NS серверов. Это потому, что изначально архитектура разрабатывалась при предположении возможного ядерного удара – она должна оставаться рабочей, даже если часть серверов выйдет из строя. Отсюда и появились требования на два NS и разные подсети IP-адресов. Информация на всех NS синхронизируется, обычно у провайдера за публичными NS серверами стоит скрытый мастер NS сервер, с которого публичные NS периодически забирают данные. В процессе рекурсивного поиска, получив список NS серверов, система обращается к одному из них. Опрашивается первый попавшийся, случайный, по-очереди, всегда первый - по-разному, зависит от реализации. На всякий случай NS сервера еще могут перетасовать NS записи при ответе.

 

Что еще есть интересного в DNS зоне, помимо IP адреса домена и NS серверов для его поддоменов?

Из основного это:

• SOA (Start of Authority) запись – в ней указываются первичный NS сервера зоны, email администратора, технические параметры для синхронизации зон, в частности TTL (time to live) – время жизни зоны в кэше. Стандартное значение TTL – 24 часа (86400 секунд), однако некоторые кэширующие DNS сервисы могут игнорировать TTL зоны и устанавливать свой.
• MX (Mail exchange record) – в этой записи указывается имя почтового сервера, принимающего почту для домена
• TXT (Text record) – изначально предполагалась как human-readable text, однако сейчас больше используется как machine-readable data, туда пишут публичные ключи для шифрования, подписи и прочие данные для автоматизации.

 

Пару слов про IDN-домены, вроде мойклёвыйдомен.рф. С начала века это активно продвигали китайцы и индусы. Запустилось в 2010 году для Египта, России, Саудовской Аравии и Эмиратов. Функционал нагородили поверх уже имеющийся системы, IDN домены пока используются весьма ограниченно. Доменное имя на локальном языке в кодировке UTF специальным алгоритмом переводится в ASCII с добавлением префикса “xn--“. мойклёвыйдомен.рф с точки зрения DNS серверов это просто xn--b1aednbehfglcg0o6c.xn--p1ai, где .xn--p1ai это TLD, соответствующее .рф. Запись вида xn--что-то-там называется “punicode”, переводом имени домена из локального написания в пуникод и обратно занимается непосредственно браузер, делая процедуру для пользователей прозрачной.

 

Уфф, опять что-то многобукв выходит. Reverse зоны пропустим, просто отметим, что в DNS есть механизм и для обратного разбора – по IP-адресу NS выдаст какой-то из доменов для указанного IP. На практике же не все домены попадают в обратные зоны.

 

Безопасность и риски.

 

DNS трафик не шифруется. Его может подделать зловредный man in the middle, такой тип атаки называется DNS cache poisoning. В результате в каком-то сегменте сети в кэшах оказывается поддельная DNS информация. Например, кто-то в моей сети подменил IP-адрес aftershock.news на свой сервер и вместо аналитики показывает мне котиков и как люди ругаются. Активно разрабатывается DNSSEC – протокол, в котором внедряются цифровые подписи для обеспечения целостности данных, дело не быстрое, особенно когда еще необходимо обеспечить и обратную совместимость.

 

Кривая настройка NS сервера может позволить стороннему человеку произвести полный трансфер зоны (AXFR, так информация синхронизуется между мастер-NS и его слэйвами). Тогда можно узнать все поддомены в зоне и атаковать не основной сервер, а какой-то богом забытый поддомен, обслуживающийся на том же сервере, но на котором может стоять старый кривой дырявый софт.

 

Из глобальных проблем, которые упоминались в связи с «законом о суверенном интернете» - а что будет, если на корневых NS серверах вообще запретят делегацию зоны .ru? Тогда, теоретически, где-то через 24 часа протухнут все кэши никто не сможет достучаться до любого домена в этой зоне. На практике же, государство может у себя поднять несколько «зеркал» корневых серверов и использовать их на уровне магистральных интернет провайдеров. Этой весной вроде собирались тестировать подобный сценарий, чем дело кончилось – я не знаю, не следил.