Kaip veikia DNS: Išsamus paaiškinimas

Domenų vardų sistema (DNS) yra viena iš interneto pagrindų, tačiau daugelis žmonių, nesusijusių su informacinių technologijų sritimi, net nežino, kad naudojasi tokia sistema kasdien. Iš esmės DNS yra vardų, atitinkančių skaičius, katalogas. Ji leidžia mums pasiekti interneto svetaines ir naudotis kitomis paslaugomis tinkle, įvesdami lengvai įsimenamus domenų vardus, o ne sudėtingus skaitinius IP adresus. Be DNS sistemos internetas toks, koks jį pažįstame šiandien, tiesiog neegzistuotų.

DNS serveriai: Interneto adresų knyga

DNS serveriai - tai specialūs kompiuteriai, kuriuose saugomas domenų vardų ir juos atitinkančių IP adresų katalogas. Kai interneto naršyklėje įvedate domeno vardą (pavyzdžiui, www.example.com), jūsų kompiuteris kreipiasi į DNS serverį, kad surastų su tuo domeno vardu susijusį IP adresą. Šis procesas yra būtinas, kad jūsų naršyklė galėtų rasti ir įkelti reikiamą tinklalapį.

Kiekvieno lankytojo kompiuteris, norėdamas rasti jūsų interneto svetainę, kreipiasi į domenų registre nurodytus domeną aptarnaujančius DNS serverius. Jis paprašo jūsų tinklalapį turinčio serverio IP adreso. Lygiai taip pat kiekvienas kitas serveris, kuris nori jums pristatyti el. laišką, turi gauti jūsų el. pašto serverio IP adresą.

DNS zonos išsprendimo procesas

DNS zonos išsprendimo procesas yra sudėtingas, tačiau jis vyksta akimirksniu, todėl vartotojai to beveik nejaučia. Štai kaip jis veikia:

1. Vartotojo užklausa: Įvedate domeno vardą į naršyklės adreso juostą.
2. DNS klientas: Jūsų naršyklė siunčia DNS paieškos užklausą DNS klientui, klausiama, kuriam tinklui ar IP adresui priklauso domeno vardas.
3. DNS keitiklis (rekursinis serveris): DNS keitiklis gauna DNS užklausą. Jei jis neturi reikiamų IP duomenų, saugomų DNS atmintinėje, jis išsiunčia daugiau užklausų šakniniam vardų serveriui (angl. root server) arba aukščiausiojo lygio domenų (angl. top-level domain, TLD) vardų serveriui.
4. Šakninis ir TLD serveriai: Gavę užklausas, šakniniai ir TLD vardų serveriai veikia kartu, kad tiksliai nustatytų reikiamo IP adreso duomenų vietą. Jie nukreipia užklausą į atitinkamą TLD vardų serverį, naudodami domeno vardo plėtinį (pvz., „.com“, „.net“ arba „.lt“).
5. Autoritetingas vardų serveris: Galutinis duomenų elementas yra patikimas vardų serveris (angl. authoritative name server), kuriame saugoma tiksli informacija apie domeną ir IP adresą.
6. Atsakymas vartotojui: Patikimas vardų serveris siunčia informaciją apie IP adresą į rekursinį keitiklį, kuris pateikia teisingą IP adresą jūsų naršyklei.
7. DNS atmintinė: DNS keitikliai saugo DNS įrašus DNS atmintinėje (laikinoje duomenų bazėje), kad kitą kartą vartotojas paprasčiau patektų į tą pačią svetainę. Ši atmintinė gali būti jūsų kompiuteryje, maršrutizatoriuje arba jūsų interneto paslaugų teikėjo (ISP) serveriuose.

Kodėl DNS serverio pasirinkimas yra svarbus?

Kiekvieno paslaugų teikėjo DNS serverių tinklas yra unikalus. Kokybiniai DNS serverių parametrai praktiškai nulemia tris visų jūsų naudojamų interneto sistemų aspektus: veikimo greitį, patikimumą ir saugumą. Rinkdamiesi DNS paslaugos teikėją, išsiaiškinkite, ar šie aspektai atitinka jūsų poreikius.

DNS serverio greitis

Kuo greičiau naršytojo kompiuteris gaus atsakymą iš DNS serverio, tuo greičiau jis pradės krauti interneto svetainę. Kiekviena lankytojo laukimo sekundė jums reiškia prarastas pajamas. DNS serverio atsakymo greitis dažniausiai proporcingas fiziniam atstumui iki serverio. Kiekvienas 100 km prideda iki 5 ms laukimo. Tad jei turėsime po DNS serverį Prancūzijoje, Rumunijoje ir Lietuvoje, dauguma Europos lankytojų DNS atsakymą gaus greičiau nei per 50 ms. Bet lankytojas, atėjęs iš vakarinio JAV kranto, jo gali laukti ir pusę sekundės, o iš Naujosios Zelandijos - ir visą sekundę.

Lyginant, kad optimizuota interneto svetainė kraunasi 1-2 sekundes, 50 ms DNS serverio atsakymo greitis yra pakankamas. Tačiau viršijantis 100 ms jau pastebimai stabdo svetainės krovimąsi ir tampa problema.

Būtų idealu turėti po vieną DNS serverį kiekvienoje šalyje, tačiau to pasaulyje dar niekas nesiūlo. Norėdami turėti pakankamai didelį DNS atsakymo greitį savo lankytojams, rinkitės tą paslaugų teikėją, kuris turi bent po vieną serverį kiekviename žemyne, iš kurių ateina jūsų lankytojai.

DNS serverio patikimumas

DNS serverių tinklą pagal reikalavimus turi sudaryti bent 2 fiziškai atskiri serveriai. Dauguma paslaugų teikėjų turi bent 4 DNS serverius, juos laiko ne viename duomenų centre ir pasirūpina pakankamai galinga aparatine įranga. Todėl praktiškai visi DNS serverių tinklai veikia patikimai, kol jų niekas nepuola.

Didžiausia DNS serverių problema - DDoS atakos. Jų metu šimtai tūkstančių virusais užkrėstų kompiuterių nesustodami siunčia užklausas DNS serveriui, kuris negali aptarnauti tokio didelio momentinio srauto ir tampa nepasiekiamas.

DDoS atakos naudojamos įvairių serverių puolimui, tačiau DNS dalis jose nuo 2013 metų pradžios iki tų pačių metų pabaigos pakilo nuo 13,1% iki 50,1%. Daugiau kaip pusė DDoS atakų nukreipta prie DNS serverius, nes sutrikdžius jų darbą nebeveikia absoliučiai viskas, kam reikalingi domenai.

Kiekvieną valandą fiksuojama po 28 naujas DDoS atakas pasaulyje, o didžiausių DDoS atakų duomenų srautas nuo 2014 metų viršija 400Gbps. Palyginimui, paprastas hostingo serveris būna prijungtas prie 0,1Gbps interneto kanalo. Didžiausias interneto paslaugų teikėjas Lietuvoje TEO parduoda iki 10Gbps interneto kanalus, o iš viso patys yra nusipirkę 100Gbps tarptautinių interneto kanalų. Tai reiškia, kad jei bet kuris lietuviškas interneto paslaugų teikėjas būtų puolamas didelio masto DDoS ataka, jo turimi tarptautiniai kanalai „užsikimštų“ ir paslaugos iš karto taptų nepasiekiamos už Lietuvos ribų.

Realybėje Lietuvos paslaugų teikėjai kol kas sulaukia tik kur kas mažesnių atakų. Bet menkai pasiruošusius ir į reikalingą įrangą neinvestavusius duomenų centrus sutrikdo ir 6Gbps atakos. Todėl turėti bent 1 DNS serverį didelio pasaulinio interneto paslaugų teikėjo tinkle yra privalu.

Dauguma pasaulinių DNS paslaugų teikėjų apsaugo savo serverius nuo 50-100Gbps atakų. Norėdami stabilaus paslaugų veikimo, įsitikinkite, kad jūsų DNS serverių savininkas yra pajėgus atlaikyti bent tokio masto atakas.

DNS serverio saugumas

Jei DNS serveris lankytojui grąžins neteisingą atsakymą, lankytojas nueis į ne tą serverį. Praktikoje tai nenutinka netyčia. Pavyzdžiui, jei kas nors įsilaužtų į banko DNS serverį ir pakeistų DNS zonos nustatymus, galėtų nukreipti visus banko klientus į savo serverį su suklastota svetaine ir pavogti jų prisijungimo duomenis.

Kiekvienas paslaugų teikėjas DNS serverių saugumą užtikrina savo kompetencijos ribose, kaip ir visų kitų tipų serverių. Dažniausiai lengviau yra įsilaužti į vartotojo maršrutizatorių arba jo kompiuterį ir pakeisti jų nustatymus. Tuomet konkretaus lankytojo kompiuteris DNS informaciją ims ne iš tikrojo DNS serverio, o iš suklastoto, vedančio į kenkėjišką svetainę. Efektas lygiai toks pat kaip nulaužus tikrąjį DNS serverį, tik šiuo atveju įtakojame tik konkrečius lankytojus, o svetainės savininkas apie tai nesužino.

Domenų sistema tam turi DNSSEC apsaugą, kuri leidžia patikrinti DNS duomenų autentiškumą ir užkirsti kelią DNS informacijos klastojimui. Norėdami išnaudoti šią funkciją, turite naudotis DNS serveriu, kuris palaiko DNSSEC standartą. Kol kas DNSSEC palaiko tik maža dalis DNS serverių teikėjų.

DNS paslaugų tipai

Šiuo metu rinkoje siūlomos 3-ų tipų DNS serverių paslaugos: nemokami hostingo DNS serveriai, mokami išoriniai Unicast DNS serveriai ir mokami Anycast DNS serveriai. Ką rinktis, priklauso nuo kitų jūsų naudojamų paslaugų. Jei esate užsisakę aukšto patikimumo svetainės talpinimą ir el. paštą, pasirinkę žemos kokybės DNS serverį vis vien susidursite su problemomis, nors tų paslaugų serveriai ir veiks patikimai.

Nemokami hostingo DNS serveriai

Jie dažniausiai veikia pačiuose hostingo serveriuose. Neveikiant hostingo serveriui, nustoja veikti ir DNS serveriai. Geografiškai jie būna viename regione, dažnai tame pačiame duomenų centre, todėl yra visiškai priklausomi nuo duomenų centro pasiekiamumo ir lankytojams iš kitų regionų veikia lėtai.

Jei visos jūsų el. paslaugos (interneto svetainė, el. paštas ir t.t.) veikia viename hostingo serveryje, galite naudoti su juo nemokamai suteiktus DNS serverius. Kadangi visos paslaugos vis tiek priklausomos nuo vieno fizinio serverio, DNS serveris veiks ar neveiks tuo pat metu kaip ir visos kitos paslaugos.

Išoriniai Unicast DNS serveriai

Nuo pirmo varianto jie skiriasi tuo, kad yra įkurti fiziškai nutolusiuose duomenų centruose ir nenaudojami jokioms kitoms užduotims. Dažniausiai kuo patikimesnis paslaugų teikėjas ir kuo brangesnė jo DNS paslauga, tuo didesnę apsaugą nuo DDoS jis yra įdiegęs ir tuo platesnį geografinį regioną apima visas DNS serverių tinklas. Tai suteikia didesnį patikimumą ir greitį.

Išorinį Unicast DNS serverių tinklą rekomenduoju tuomet, kai jūsų el. paslaugas aptarnauja bent 2 atskiri serveriai. Pvz.: el. paštui naudojate Google Apps for Business, o svetainę talpinate ContentAir serveriuose. Šios paslaugos užtikrina aukštą patikimumą ir garantijas, bet pasirinkę prastą DNS serverį rizikuojate jų nepasiekti.

Anycast DNS serveriai

Anycast DNS serverių tinklai panaudodami debesų kompiuterijos technologijas suteikia aukščiausią patikimumą ir greitį. Jie veikia keliasdešimtyje fiziškai atskirų duomenų centrų, bent po vieną kiekviename žemyne. Dėl ypatingai didelio nepriklausomų serverių skaičiaus praktiškai neįmanoma, kad Anycast DNS serverių tinklas neaptarnautų domeno ir šis iš viso neveiktų.

Anycast DNS serverių tinklo privalumus pajausite tik tuomet, jei turite geografiškai plačiai pasklidusių lankytojų srautą arba reikalaujate 100% patikimumo. Kita vertus, kai kainos skirtumas tarp Unicast DNS ir Anycast DNS yra tik keliasdešimt eurų per metus ir vis mažėja, vis daugiau įmonių renkasi Anycast DNS ir vietinėms svetainėms.

DNS įrašų tipai

DNS sistemoje naudojami įvairūs įrašų tipai, valdantys, kaip ir kur nukreipiami duomenys bei kokios paslaugos yra prieinamos. Kai kurios svarbiausios rūšys yra:

• A (adreso) įrašai: Juose yra pagrindinio kompiuterio vardas ir atitinkamas IPv4 adresas.
• AAAA (IPv6 adreso) įrašai: Juose yra pagrindinio kompiuterio vardas ir atitinkamas IPv6 adresas.
• CNAME (kanoninių vardų) įrašai: Naudojami domenų vardų slapyvardžiams kurti, nukreipiant vieną domeną į kitą.
• MX (pašto mainų) įrašai: Nurodo domeno vardo pašto mainų serverį, naudojamą SMTP protokolu.
• NS (vardų serverių) įrašai: Įgalioja DNS zoną naudoti konkretų autoritetingą vardų serverį, deleguojant trečiojo lygio domeną.
• PTR (atvirkštinės paieškos žymeklio) įrašai: Naudojami domenų vardų paieškai pagal IP adresą.
• TXT (teksto) įrašai: Gali būti naudojami įvairiai informacijai saugoti, pavyzdžiui, SPF (Sender Policy Framework) įrašams, kurie padeda kovoti su el. pašto sukčiavimu.
• SRV (serviso) įrašai: Naudojami nurodyti, kaip pasiekti įvairias paslaugas (pvz., telefonijos).
• CAA (sertifikavimo įrašai): Nurodo, koks skaitmeninių sertifikatų paslaugų teikėjas turi teisę išduoti sertifikatus konkrečiam domenui.
• TLSA (DNS paremto autentifikavimo) įrašai: Naudojami nurodyti, koks sertifikatas tinkamas jungtis prie serviso.

DNS saugumas ir DNSSEC

DNS saugumas yra labai svarbus interneto vartotojams, įmonėms ir visiems interneto subjektams. Kaip ir bet kuriai kitai kibernetinei infrastruktūrai, DNS serveriams kyla kenkėjiškų subjektų išpuolių rizika. Patyrę DNS išpuolį asmenys ir įmonės gali susidurti su kenkėjiškomis svetainėmis, duomenų pažeidimais ir pažeistais saugumo tinklais.

Neteisingi DNS įrašai gali padaryti svetainę nepasiekiamą, o neteisingai sukonfigūruoti įrašai gali tapti saugumo spragomis. Domenų sistema tam turi DNSSEC apsaugą, kuri leidžia patikrinti DNS duomenų autentiškumą ir užkirsti kelią DNS informacijos klastojimui. DNSSEC naudoja skaitmeninius parašus, kad išvengtų galimų DNS saugumo pažeidžiamumų, kai bandoma klastoti interneto adreso paskirstymą. Norėdami išnaudoti šią funkciją, turite naudotis DNS serveriu, kuris palaiko DNSSEC standartą.

Nors kibernetinio saugumo ekspertai ir toliau diegia inovacijas, kaip antai DNS ryšio šifravimą DoH (DNS over HTTPS) ir DoT (DNS over TLS), kai naudojamas DNS šifravimas, vartotojai visada turėtų išlikti budrūs.

DNS serverio pakeitimas

Pakeitę savo dabartinį DNS serverį galite itin pagerinti savo patirtį internete, nes naršysite greičiau, o jūsų ryšys bus saugesnis. Štai kaip tai padaryti:

1. Kompiuterio ekrano apačioje suraskite didinamojo stiklo piktogramą ir spustelėkite ją.
2. Atsidarius langui su paieškos juosta, įrašykite „Manage network adapter settings“ (tvarkyti tinklo plokštės nustatymus) ir spustelėkite atitinkamą rezultatą.
3. Susiraskite ir spustelėkite ant „Ethernet“ arba „Wi-Fi“, priklausomai nuo to, kurį iš jų naudojate.
4. Lange, atsiradus daugiau informacijos, spustelėkite ant parinkties „View additional properties“ (rodyti papildomas ypatybes).
5. Šalia „DNS server assignment“ (DNS serverio priskyrimas) spustelėkite mygtuką „Edit“ (redaguoti).
6. Nedideliame atsidariusiame lange pasirinkite „Manual“ (neautomatinis).
7. Pasirinkite tokius nustatymus:
   • „IPv4“ - „On“ (įjungta).
   • Pageidaujamas DNS: [įrašykite pirminį DNS adresą].
   • Pakaitinis DNS: [įrašykite antrinį DNS adresą].
   • „IPv6“ - „Off“ (išjungta).
8. Spustelėkite „Save“ (išsaugoti).

Dažnai rekomenduojama naudoti viešuosius DNS serverius, tokius kaip „Cloudflare DNS“ (1.1.1.1 ir 1.0.0.1), „Google DNS“ (8.8.8.8 ir 8.8.4.4) arba „Quad9“ (9.9.9.9 ir 149.112.112.112), kurie siūlo geresnį greitį, privatumą ir saugumą nei daugelio interneto paslaugų teikėjų serveriai.

tags: #kaip #veikia #dns