Glossario DNS – NexDNS

Concetti di base

DNS (Domain Name System): Il sistema di nomi gerarchico che mappa i nomi di dominio leggibili dalle persone (come example.com) in indirizzi IP e altri resource record. Il DNS è un database distribuito gestito da una rete di nameserver autoritativi e di resolver.
Dominio: Un nome registrato sotto un dominio di primo livello (TLD). Un dominio è un punto di delega nel DNS, sotto il quale il titolare può creare un numero qualsiasi di sottodomini e record. Si acquista e si rinnova tramite un registrar di domini.
TLD (Top-Level Domain): L’ultimo segmento di un nome di dominio – .com, .org, .co.uk, .io e così via. Gestiti dai registry sotto la supervisione di ICANN. Le due categorie principali sono i TLD generici (gTLD) e i TLD nazionali (ccTLD).
Nameserver: Un server che risponde alle query DNS. I nameserver autoritativi contengono i record effettivi di una zona; i resolver ricorsivi recuperano i record dai server autoritativi per conto dei client. I record NS di un dominio puntano ai suoi nameserver autoritativi.
Server autoritativo: Un nameserver che contiene i record originali di una zona e risponde con risposte autoritative (bit AA impostato nella risposta). Quando ospita il DNS su NexDNS, i nostri server NS diventano autoritativi per le Sue zone.
Resolver ricorsivo: Un server DNS che prende una query da un client, percorre la gerarchia DNS (root → TLD → server autoritativi) e restituisce la risposta finale. I resolver memorizzano i risultati nella cache in base ai TTL. Esempi: 1.1.1.1, 8.8.8.8, il resolver del Suo ISP.
Zona: Una porzione contigua dello spazio dei nomi DNS gestita come un’unica unità. Un file di zona elenca tutti i record di una zona (SOA, NS, A, AAAA, MX e così via). Ogni zona è ospitata su uno o più nameserver autoritativi.
Record DNS: Una singola voce di dati DNS all’interno di una zona. I record hanno un tipo (A, AAAA, MX, CNAME e così via), un nome, un TTL e un valore specifico del tipo. Una zona contiene molti record e le loro modifiche costituiscono gran parte del lavoro di gestione DNS.
TTL (durata in cache): Per quanto tempo, in secondi, i resolver possono conservare un record in cache prima di interrogare nuovamente il server autoritativo. Valori comuni: 300 (5 minuti), 3600 (1 ora), 86400 (1 giorno). TTL più bassi comportano una propagazione più rapida ma un maggior numero di query ai server autoritativi.
Propagazione: Il processo di diffusione delle modifiche DNS sui resolver di tutto il mondo. È vincolata al TTL del record precedente: dopo una modifica, i resolver continuano a servire il valore memorizzato nella cache fino alla scadenza del TTL. Utilizzi un controllo della propagazione per verificare la visibilità sui resolver pubblici.

Tipi di record

Record A: Mappa un hostname su un indirizzo IPv4. www.example.com A 203.0.113.10 indica che www si risolve con l’IPv4 203.0.113.10. È il tipo di record più comune.
Record AAAA: Mappa un hostname su un indirizzo IPv6. È come il record A ma per gli indirizzi IPv6 (128 bit). Pronunciato «quad-A».
CNAME (Canonical Name): Un alias da un hostname a un altro. shop.example.com CNAME commerce-platform.net indica che le query per shop devono risolversi come se fosse stato interrogato commerce-platform.net. I CNAME non possono coesistere con altri record sullo stesso nome, nemmeno con MX.
Record MX: Indica il server di posta di un dominio. Include una priorità (più bassa è meglio). example.com MX 10 mail.example.com indica ai server mittenti di consegnare a mail.example.com.
Record TXT: Dati testuali liberi associati a un nome. Molto utilizzati per la verifica (prove di proprietà del dominio) e per l’autenticazione email (SPF, DKIM e DMARC si basano tutti su record TXT).
Record NS: Indica i nameserver autoritativi di una zona. Ogni zona deve avere almeno due record NS. I record NS nella zona padre (presso il Suo registrar) puntano al Suo provider DNS; i record NS all’interno della zona stessa replicano quell’elenco.
Record SRV: Individua un servizio su una coppia host e porta, con priorità e peso. Utilizzato da SIP, XMPP, Minecraft, Matrix e altri protocolli che beneficiano del service discovery. Formato: _servizio._protocollo.nome TTL SRV priorità peso porta destinazione.
CAA (Certification Authority Authorization): Limita quali autorità di certificazione possono emettere certificati per un dominio. example.com CAA 0 issue "letsencrypt.org" indica che solo Let's Encrypt può emettere certificati per example.com. Viene verificato dalle CA prima dell’emissione; raccomandato per la difesa in profondità.
PTR (Pointer): Mappa un indirizzo IP al relativo hostname (DNS inverso). Utilizzato per le ricerche da IP a nome, più comunemente richieste dai mail server per non essere marcati come spam. Vive nelle zone in-addr.arpa (IPv4) o ip6.arpa (IPv6) gestite da chi detiene l’intervallo IP.
Record ALIAS: Come un CNAME ma risolvibile all’apice della zona (il dominio nudo). Risolve a tempo di query i record A/AAAA del target e li restituisce al client. Utile quando il CNAME è tecnicamente vietato ma si vuole comunque puntare a un hostname anziché a un IP.
TLSA (DANE): Pubblica tramite DNS il certificato TLS o la chiave pubblica attesi per un servizio, abilitando DANE (DNS-based Authentication of Named Entities). Richiede DNSSEC per essere attendibile. Il formato comprende usage, selector, matching type e i dati di associazione del certificato.
Record DS: Delegation Signer – pubblicato nella zona padre per stabilire la catena di fiducia DNSSEC verso una zona figlia. Contiene un hash della KSK della zona figlia. Si pubblica aggiornando il record DS presso il Suo registrar dopo aver abilitato DNSSEC.
SOA (Start of Authority): Metadati di una zona – nameserver primario, email del responsabile, numero di serie, timer di refresh, retry, expire e minimum. Ogni zona ha esattamente un record SOA; i resolver lo utilizzano per negoziare il caching e i trasferimenti di zona.

DNSSEC

DNSSEC (DNS Security Extensions): Un insieme di estensioni che aggiungono firme crittografiche alle risposte DNS, consentendo ai resolver di verificare che i record non siano stati manomessi in transito. Protegge da spoofing DNS e avvelenamento della cache. Si basa su una catena di fiducia da root → TLD → la Sua zona.
KSK (Key Signing Key): Una chiave DNSSEC utilizzata per firmare altre chiavi DNSSEC – in particolare il resource record set DNSKEY. L’hash della chiave pubblica della KSK viene pubblicato come record DS nella zona padre, ancorando la catena di fiducia. Si ruota meno spesso della ZSK (tipicamente una volta all’anno).
ZSK (Zone Signing Key): Una chiave DNSSEC utilizzata per firmare i record effettivi di una zona. Si ruota più frequentemente della KSK (ogni pochi mesi) perché una compromissione non intacchi i record a lunga durata. La ZSK è firmata dalla KSK.
Record DNSKEY: Pubblica nella zona la parte pubblica delle chiavi di firma DNSSEC (KSK e ZSK). I resolver scaricano le DNSKEY per verificare le firme sugli altri record. Il record DS nella zona padre si riferisce alla KSK tramite il suo hash.
RRSIG (Resource Record Signature): La firma su un resource record set, prodotta dalla ZSK (o dalla KSK per il set DNSKEY). I resolver verificano le RRSIG con la DNSKEY corrispondente per confermare l’autenticità dei record. È presente accanto a ogni record set firmato in una zona con DNSSEC abilitato.
NSEC e NSEC3: Record che consentono a DNSSEC di dimostrare che un nome non esiste (senza rivelare informazioni su tutti gli altri nomi). NSEC3 calcola l’hash dei nomi prima di pubblicarli, rendendo più difficile l’enumerazione della zona. NexDNS utilizza NSEC3 come impostazione predefinita.
NSEC3: Una variante di NSEC che calcola l’hash dei nomi dei record prima di pubblicarli, rendendo più difficile per un attaccante enumerare tutti i nomi di una zona. NSEC3 è la scelta raccomandata per le zone pubbliche.
Catena di fiducia: Il collegamento crittografico dalla zona radice (la cui KSK è distribuita fuori banda) attraverso ogni TLD fino a una zona specifica. I resolver validano le firme anello per anello: root → TLD → la Sua zona. Si interrompe se il record DS in una delle zone padre manca o è obsoleto.

Autenticazione email

SPF (Sender Policy Framework): Un record TXT che elenca quali server sono autorizzati a inviare email per un dominio. I destinatari verificano SPF al momento della consegna; le discrepanze contribuiscono al punteggio di spam. Formato: v=spf1 include:_spf.example.com ~all.
DKIM (DomainKeys Identified Mail): Firma crittografica aggiunta alle email in uscita dal server mittente, verificabile tramite una chiave pubblica in un record TXT su selector._domainkey.example.com. Dimostra che il messaggio non è stato manomesso in transito e che proviene dal dominio dichiarato.
DMARC (autenticazione basata sul dominio, reporting e conformità): Una politica sopra SPF e DKIM che indica ai destinatari cosa fare quando un messaggio non supera l’autenticazione (nessuna azione, quarantena o rifiuto) e dove inviare i report aggregati. Pubblicata come record TXT su _dmarc.example.com.

Operazioni

Trasferimento di zona: Copia di una zona da un nameserver a un altro. AXFR copia l’intera zona; IXFR copia solo i record modificati da un determinato numero di serie in poi. Utilizzato fra nameserver primari e secondari per mantenerli sincronizzati.
AXFR: Trasferimento di zona completo – un nameserver secondario richiede l’intera zona al primario. Raramente esposto pubblicamente; tipicamente limitato da ACL sugli IP o da TSIG. Utile per migrazioni una tantum fra provider DNS.
IXFR: Trasferimento di zona incrementale – il secondario richiede solo le modifiche intervenute da un certo numero di serie SOA. Più efficiente di AXFR per zone con molti piccoli aggiornamenti. Ricade su AXFR se il primario non può soddisfare la richiesta incrementale.
Zona primaria (master): Una zona i cui record sono creati direttamente sul nameserver (anziché essere trasferiti da un’altra sorgente). La maggior parte delle zone sono primarie presso il proprio provider DNS. Su NexDNS, crei zone primarie dal pannello, dall’API o dalla CLI.
Zona secondaria (slave): Una zona i cui record sono trasferiti da un altro nameserver (il master) via AXFR o IXFR. Si utilizza per replicare una zona esistente a scopo di ridondanza o per mettere in scena una migrazione. NexDNS supporta le zone secondarie sui piani Pro e superiori.

Protocolli moderni

DoH (DNS su HTTPS): Query DNS incapsulate in HTTPS, indistinguibili dal normale traffico web e immuni all’ispezione on-path. Utilizzato da browser, sistemi operativi e resolver orientati alla privacy. DoH è un protocollo lato resolver; i server autoritativi come NexDNS rispondono alla query DNS sottostante del resolver.
DoT (DNS su TLS): Query DNS su una connessione TLS dedicata sulla porta 853. Proprietà di privacy simili a DoH ma distinguibile dalla porta, quindi più facile da bloccare in reti restrittive. Come DoH, è lato resolver; i server autoritativi non sono coinvolti direttamente.
ECH (Encrypted Client Hello): Un’estensione TLS 1.3 che cifra il ClientHello, impedendo agli osservatori di rete di scoprire a quale sito si sta connettendo il client (informazione in precedenza trapelata tramite SNI). Richiede che il sito pubblichi un record DNS di tipo HTTPS con i parametri ECH.
EDNS (meccanismi di estensione del DNS): Un insieme di estensioni al protocollo DNS originale che consentono messaggi più grandi, flag aggiuntivi e nuove opzioni senza rompere la compatibilità. Necessario per DNSSEC; EDNS Client Subnet (ECS) è utilizzato da alcuni provider per risposte geo-consapevoli.