Słownik DNS – NexDNS

Podstawy

DNS (Domain Name System): Hierarchiczny system nazw, który mapuje czytelne dla człowieka nazwy domen (takie jak example.com) na adresy IP i inne rekordy zasobów. DNS jest rozproszoną bazą danych obsługiwaną przez sieć autorytatywnych serwerów nazw oraz resolverów.
Domena: Nazwa zarejestrowana pod domeną najwyższego poziomu (TLD). Domena jest punktem delegacji w DNS, pod którym właściciel może utworzyć dowolną liczbę subdomen i rekordów. Kupowana i odnawiana u rejestratora domen.
TLD (Top-Level Domain): Ostatni człon nazwy domeny – .com, .org, .co.uk, .io itp. Zarządzane przez rejestry pod nadzorem ICANN. Główne kategorie to generyczne TLD (gTLD) i krajowe TLD (ccTLD).
Serwer nazw: Serwer odpowiadający na zapytania DNS. Autorytatywne serwery nazw przechowują rzeczywiste rekordy strefy; resolwery rekurencyjne pobierają rekordy z serwerów autorytatywnych w imieniu klientów. Rekordy NS domeny wskazują jej autorytatywne serwery nazw.
Serwer autorytatywny: Serwer nazw, który przechowuje oryginalne rekordy strefy i odpowiada autorytatywnymi odpowiedziami (z ustawioną flagą AA w odpowiedzi). Gdy strefa jest hostowana w NexDNS, nasze serwery NS stają się autorytatywne dla Twoich stref.
Resolwer rekurencyjny: Serwer DNS, który przyjmuje zapytanie od klienta, przechodzi hierarchię DNS (root → TLD → serwer autorytatywny) i zwraca ostateczną odpowiedź. Resolwery buforują wyniki zgodnie z TTL. Przykłady: 1.1.1.1, 8.8.8.8, resolwer dostawcy internetu.
Strefa: Spójna część przestrzeni nazw DNS zarządzana jako jedna całość. Plik strefy zawiera wszystkie rekordy strefy (SOA, NS, A, AAAA, MX itd.). Każda strefa jest hostowana na jednym lub kilku autorytatywnych serwerach nazw.
Rekord: Pojedynczy wpis danych DNS w obrębie strefy. Rekordy mają typ (A, AAAA, MX, CNAME…), nazwę, TTL oraz wartość charakterystyczną dla danego typu. Strefa zawiera wiele rekordów; zmiany rekordów stanowią sedno zarządzania DNS.
TTL (Time To Live): Liczba sekund, przez jaką resolwery mogą buforować rekord, zanim ponownie odpytają serwer autorytatywny. Typowe wartości: 300 (5 min), 3600 (1 godzina), 86400 (1 dzień). Niższe TTL oznacza szybszą propagację zmian, ale większą liczbę zapytań do serwera autorytatywnego.
Propagacja: Proces rozprzestrzeniania się zmian DNS po resolwerach na całym świecie. Ograniczony przez TTL poprzedniego rekordu: po zmianie rekordu resolwery nadal zwracają wartość z pamięci podręcznej do wygaśnięcia TTL. Do weryfikacji widoczności w publicznych resolwerach służy narzędzie sprawdzania propagacji.

Typy rekordów

Rekord A: Mapuje nazwę hosta na adres IPv4. www.example.com A 203.0.113.10 oznacza, że www rozwiązuje się na adres IPv4 203.0.113.10. Najczęściej używany typ rekordu.
Rekord AAAA: Mapuje nazwę hosta na adres IPv6. Działa dokładnie jak rekordy A, ale dla 128-bitowych adresów IPv6. Wymawia się „quad-A”.
CNAME (Canonical Name): Alias z jednej nazwy hosta na inną. shop.example.com CNAME commerce-platform.net oznacza, że zapytania o shop mają być rozwiązywane tak, jak gdyby odpytywano commerce-platform.net. CNAME nie może współistnieć z innymi rekordami pod tą samą nazwą, w tym MX.
Rekord MX: Wskazuje serwer pocztowy domeny. Zawiera priorytet (niższy = preferowany). example.com MX 10 mail.example.com informuje serwery nadawcze, że pocztę należy dostarczać do mail.example.com.
Rekord TXT: Dowolne dane tekstowe dołączone do nazwy. Szeroko używany do weryfikacji (potwierdzanie własności domeny) oraz uwierzytelniania poczty (SPF, DKIM i DMARC – wszystkie wykorzystują rekordy TXT).
Rekord NS: Wskazuje autorytatywne serwery nazw dla strefy. Każda strefa musi mieć co najmniej dwa rekordy NS. Rekordy NS w strefie nadrzędnej (u rejestratora) wskazują Twojego dostawcę DNS; rekordy NS wewnątrz własnej strefy odzwierciedlają tę listę.
Rekord SRV: Wskazuje usługę na hoście i porcie, z priorytetem i wagą. Używany przez SIP, XMPP, Minecraft, Matrix i inne protokoły korzystające z wykrywania usług. Format: _service._proto.name TTL SRV priority weight port target.
CAA (Certification Authority Authorization): Ogranicza urzędy certyfikacji, które mogą wystawiać certyfikaty dla domeny. example.com CAA 0 issue "letsencrypt.org" oznacza, że tylko Let's Encrypt może wystawiać certyfikaty dla example.com. Sprawdzane przez CA przed wydaniem; zalecane w ramach obrony warstwowej.
PTR (Pointer): Mapuje adres IP z powrotem na nazwę hosta (odwrotne DNS). Używany do wyszukiwania IP → nazwa, najczęściej wymagany dla serwerów pocztowych, aby nie były oznaczane jako spam. Znajduje się w strefach in-addr.arpa (IPv4) lub ip6.arpa (IPv6), zarządzanych przez właściciela puli adresów IP.
Rekord ALIAS: Działa jak CNAME, ale można go rozwiązywać na wierzchołku strefy (samej domenie). W momencie zapytania rozwiązuje się na rekordy A/AAAA celu i zwraca je klientowi. Przydatny, gdy CNAME jest technicznie zabroniony, ale nadal chcemy wskazać na nazwę hosta, a nie adres IP.
TLSA (DANE): Publikuje w DNS oczekiwany certyfikat TLS lub klucz publiczny usługi, umożliwiając DANE (uwierzytelnianie nazwanych podmiotów oparte na DNS). Wymaga DNSSEC, aby był wiarygodny. Format zawiera użycie, selektor, typ dopasowania oraz dane powiązania certyfikatu.
Rekord DS: Delegation Signer – publikowany w strefie nadrzędnej w celu ustanowienia łańcucha zaufania DNSSEC dla strefy podrzędnej. Zawiera hash klucza KSK strefy podrzędnej. Publikowany przez aktualizację rekordu DS u rejestratora po włączeniu DNSSEC.
SOA (Start of Authority): Metadane strefy – główny serwer nazw, adres e-mail osoby odpowiedzialnej, numer seryjny, liczniki refresh/retry/expire/minimum. Każda strefa ma dokładnie jeden rekord SOA; resolwery wykorzystują go do negocjowania cache'owania i transferów stref.

DNSSEC

DNSSEC (DNS Security Extensions): Zestaw rozszerzeń dodających kryptograficzne podpisy do odpowiedzi DNS, dzięki czemu resolwery mogą zweryfikować, że rekordy nie zostały zmodyfikowane w trakcie przesyłania. Chroni przed spoofingiem DNS i zatruwaniem pamięci podręcznej. Ustanawiany poprzez łańcuch zaufania od roota → TLD → Twojej strefy.
KSK (Key Signing Key): Klucz DNSSEC służący do podpisywania innych kluczy DNSSEC – konkretnie zestawu rekordów DNSKEY. Hash klucza publicznego KSK jest publikowany jako rekord DS w strefie nadrzędnej, zakotwiczając łańcuch zaufania. Rotowany rzadziej niż ZSK (zwykle raz w roku).
ZSK (Zone Signing Key): Klucz DNSSEC służący do podpisywania właściwych rekordów strefy. Rotowany częściej niż KSK (co kilka miesięcy), aby ewentualne naruszenie nie wpływało na rekordy o długim czasie życia. ZSK jest podpisywany przez KSK.
Rekord DNSKEY: Publikuje w strefie publiczną część kluczy podpisywania DNSSEC (KSK i ZSK). Resolwery pobierają rekordy DNSKEY, aby weryfikować podpisy innych rekordów. Rekord DS w strefie nadrzędnej odwołuje się do KSK przez jego hash.
RRSIG (Resource Record Signature): Podpis zestawu rekordów, tworzony przez ZSK (lub KSK w przypadku zestawu DNSKEY). Resolwery weryfikują rekordy RRSIG względem odpowiedniego DNSKEY, aby potwierdzić autentyczność rekordów. Obecny obok każdego podpisanego zestawu rekordów w strefie z włączonym DNSSEC.
NSEC / NSEC3: Rekordy, które w DNSSEC umożliwiają udowodnienie, że dana nazwa nie istnieje (bez ujawniania informacji o wszystkich innych nazwach). NSEC3 haszuje nazwy przed ich publikacją, utrudniając przechodzenie przez strefę. NexDNS domyślnie używa NSEC3.
NSEC3: Wariant NSEC, który haszuje nazwy rekordów przed ich publikacją, utrudniając atakującym wyliczenie wszystkich nazw w strefie. NSEC3 jest zalecanym wyborem dla stref publicznych.
Łańcuch zaufania: Kryptograficzne powiązanie od strefy root (której KSK dystrybuowany jest poza pasmem) przez każdą TLD aż do konkretnej strefy. Resolwery walidują podpisy ogniwo po ogniwie: root → TLD → Twoja strefa. Łańcuch się rwie, jeśli rekord DS w którymkolwiek przodku jest brakujący lub nieaktualny.

Uwierzytelnianie poczty

SPF (Sender Policy Framework): Rekord TXT wymieniający serwery, które są uprawnione do wysyłania poczty w imieniu danej domeny. Odbiorcy sprawdzają SPF podczas dostarczania poczty; niezgodności wpływają na ocenę spamową. Format: v=spf1 include:_spf.example.com ~all.
DKIM (DomainKeys Identified Mail): Podpis kryptograficzny dodawany do wychodzących wiadomości przez serwer nadawczy, weryfikowany kluczem publicznym umieszczonym w rekordzie TXT pod selector._domainkey.example.com. Dowodzi, że wiadomość nie została zmodyfikowana w trakcie przesyłania i pochodzi z deklarowanej domeny.
DMARC (Domain-based Message Authentication, Reporting & Conformance): Polityka nakładana na SPF i DKIM, która mówi odbiorcom, co zrobić, gdy wiadomość nie przejdzie uwierzytelnienia (none / quarantine / reject) oraz gdzie przesyłać raporty zbiorcze. Publikowana jako rekord TXT pod _dmarc.example.com.

Operacje

Transfer strefy: Kopiowanie strefy z jednego serwera nazw na inny. AXFR kopiuje całą strefę; IXFR kopiuje tylko rekordy zmienione od określonego numeru seryjnego. Używany między serwerami głównymi a podrzędnymi, aby utrzymać je w synchronizacji.
AXFR (pełny transfer strefy): Pełny transfer strefy – serwer wtórny/podrzędny żąda całej strefy od serwera pierwotnego/głównego. Rzadko wystawiany publicznie; zwykle ograniczony listą ACL adresów IP lub TSIG. Przydatny do jednorazowej migracji między dostawcami DNS.
IXFR (przyrostowy transfer strefy): Przyrostowy transfer strefy – serwer wtórny żąda tylko zmian od określonego numeru seryjnego SOA. Bardziej wydajny niż AXFR dla stref z częstymi drobnymi aktualizacjami. W razie niemożności obsłużenia żądania przyrostowego następuje powrót do AXFR.
Strefa główna (pierwotna): Strefa, której rekordy są tworzone bezpośrednio na serwerze nazw (a nie przesyłane z innego źródła). Większość stref to strefy główne u danego dostawcy DNS. W NexDNS strefy główne tworzy się przez panel, API lub CLI.
Strefa podrzędna (wtórna): Strefa, której rekordy są przesyłane z innego serwera nazw (głównego) za pomocą AXFR/IXFR. Używana do kopiowania istniejącej strefy w celu redundancji lub etapowej migracji. NexDNS obsługuje strefy podrzędne na planach Pro i wyższych.

Nowoczesne protokoły

DoH (DNS over HTTPS): Zapytania DNS hermetyzowane w HTTPS, przez co są nierozróżnialne od zwykłego ruchu WWW i odporne na inspekcję na ścieżce. Używane przez przeglądarki, systemy operacyjne i resolwery skupione na prywatności. DoH to protokół po stronie resolwera; autorytatywne serwery takie jak NexDNS odpowiadają na bazowe zapytania DNS resolwera.
DoT (DNS over TLS): Zapytania DNS przesyłane dedykowanym połączeniem TLS na porcie 853. Zapewnia podobne właściwości prywatności co DoH, ale jest rozpoznawalne po porcie, przez co łatwiej je blokować w restrykcyjnych sieciach. Podobnie jak DoH dotyczy resolwera; serwery autorytatywne nie są bezpośrednio zaangażowane.
ECH (Encrypted Client Hello): Rozszerzenie TLS 1.3, które szyfruje komunikat ClientHello, uniemożliwiając obserwatorom sieci poznanie, do której witryny łączy się klient (wcześniej informacja ta wyciekała przez SNI). Wymaga opublikowania w DNS rekordu typu HTTPS z parametrami ECH.
EDNS (Extension Mechanisms for DNS): Zestaw rozszerzeń do oryginalnego protokołu DNS pozwalający na większe rozmiary komunikatów, dodatkowe flagi i nowe opcje bez naruszania kompatybilności. Wymagany dla DNSSEC; EDNS Client Subnet (ECS) jest używany przez niektórych dostawców do odpowiedzi zależnych od lokalizacji.