DNS: jak domeny są tłumaczone na adresy IP

System nazw domenowych (DNS) to książka telefoniczna internetu. Tłumaczy czytelne dla człowieka nazwy domen, takie jak google.com, na adresy IP, takie jak 142.250.80.46, których komputery używają do kierowania ruchu.

Po wpisaniu adresu URL przeglądarka wysyła zapytanie do DNS:

1. Sprawdza lokalną pamięć podręczną (szybko)
2. Odpyta lokalny resolver (zwykle router lub dostawcę usług internetowych)
3. Resolver odpytuje główny serwer nazw o serwer autorytatywny dla TLD
4. Odpyta serwer nazw TLD (np. .com) o serwer autorytatywny dla domeny
5. Odpyta autorytatywny serwer nazw o właściwy rekord
6. Adres IP zostaje zwrócony i zapisany w pamięci podręcznej

Typowe typy rekordów DNS:

• A — domena na adres IPv4
• AAAA — domena na adres IPv6
• CNAME — alias wskazujący inną domenę
• MX — serwer pocztowy domeny
• TXT — dowolny tekst (SPF, DKIM, weryfikacja)
• NS — serwer nazw domeny

Każdy rekord DNS ma wartość TTL (czas życia) wyrażoną w sekundach. Po zapisaniu rekordu w pamięci podręcznej resolvery korzystają z zapisanej wartości do momentu wygaśnięcia TTL, a następnie ponownie wysyłają zapytanie. Obniżenie TTL przed migracją skraca czas propagacji.

Specjaliści ds. bezpieczeństwa enumerują rekordy DNS, aby zmapować infrastrukturę organizacji:

Transfer strefy DNS (AXFR) kopiuje wszystkie rekordy z serwera nazw — jest przydatny do tworzenia kopii zapasowych, ale niebezpieczny, jeśli jest dostępny dla każdego. Błędnie skonfigurowane serwery nazw mogą ujawnić całą wewnętrzną strefę DNS organizacji.

Zatrucie pamięci podręcznej polega na wstrzyknięciu fałszywych rekordów DNS do pamięci podręcznej resolvera i przekierowaniu użytkowników na serwery kontrolowane przez napastnika. DNSSEC (rozszerzenia bezpieczeństwa DNS) wykorzystuje podpisy kryptograficzne, aby temu zapobiec.

Tradycyjny DNS przesyła zapytania jawnym tekstem — każdy w sieci może zobaczyć, jakie domeny są odwiedzane. DoH i DoT szyfrują zapytania DNS, ograniczając możliwość monitorowania i przechwycenia ruchu DNS przez osoby trzecie lub w ramach ataku man-in-the-middle.

Tunelowanie DNS koduje dane wewnątrz zapytań i odpowiedzi DNS w celu eksfiltracji danych lub utrzymywania komunikacji C2 przez zapory sieciowe, które przepuszczają ruch DNS. Zespoły bezpieczeństwa monitorują nietypowo długie zapytania DNS i dużą liczbę zapytań jako wskaźniki.

Organizacje stosują DNS typu split-horizon: wewnętrzny DNS zwraca prywatne adresy dla usług wewnętrznych, a zewnętrzny DNS udostępnia wyłącznie wpisy publiczne. Zapobiega to ujawnieniu wewnętrznej topologii w odpowiedzi na zapytania zewnętrzne.

Podstawowe narzędzia DNS:

DNS tłumaczy nazwy domen na adresy IP za pomocą hierarchicznego procesu rozwiązywania nazw, obejmującego główne, TLD i autorytatywne serwery nazw. Najważniejsze typy rekordów to A, AAAA, MX, CNAME i TXT. Zagrożenia bezpieczeństwa obejmują zatrucie pamięci podręcznej, ujawnienie danych przez transfer strefy oraz tunelowanie DNS. DoH i DoT szyfrują DNS, zapewniając prywatność.