DNS

DNS ( English  Domain Name System  "sistema de nombres de dominio") es un sistema distribuido por computadora para obtener información sobre dominios . Se usa más comúnmente para obtener una dirección IP de un nombre de host (computadora o dispositivo), obtener información de enrutamiento de correo y/o hosts de servidor para protocolos en un dominio ( registro SRV ).

Una base de datos DNS distribuida está respaldada por una jerarquía de servidores DNS que interactúan a través de un protocolo específico .

La base de DNS es la idea de una estructura jerárquica de nombres y zonas . Cada servidor responsable del nombre puede transferir la responsabilidad de la parte posterior del dominio a otro servidor (desde un punto de vista administrativo, a otra organización o persona), lo que le permite asignar la responsabilidad de la relevancia de la información a los servidores de varios organizaciones (personas) responsables únicamente de "su" nombre de dominio parcial.

A partir de 2010, el sistema DNS implementó controles de integridad de datos denominados Extensiones de seguridad DNS ( DNSSEC ). Los datos transmitidos no están encriptados, pero su autenticidad se verifica mediante métodos criptográficos. El estándar DANE implementado asegura la transferencia de información criptográfica confiable ( certificados ) por medio de DNS utilizado para establecer conexiones seguras y seguras entre las capas de transporte y aplicación .

Características clave del DNS

El DNS tiene las siguientes características:

• Distribución de la administración . Diferentes personas u organizaciones son responsables de diferentes partes de la estructura jerárquica.
• Distribución de almacenamiento de información . Cada nodo de la red debe almacenar necesariamente solo aquellos datos que se incluyen en su área de responsabilidad , y (eventualmente) las direcciones de los servidores DNS raíz .
• Caché de información . Un nodo puede almacenar cierta cantidad de datos fuera de su área de responsabilidad para reducir la carga de la red.
• Estructura jerárquica , en la que todos los nodos se combinan en un árbol , y cada nodo puede determinar de forma independiente el trabajo de los nodos posteriores o delegarlos (transferirlos) a otros nodos.
• reserva _ Varios servidores (normalmente) se encargan de almacenar y mantener sus nodos (zonas), separados tanto física como lógicamente, lo que garantiza la seguridad de los datos y la continuidad del trabajo aunque uno de los nodos falle.

El DNS es importante para el funcionamiento de Internet , ya que se necesita información sobre la dirección IP de un host para conectarse a un host, y es más fácil para las personas recordar direcciones alfabéticas (generalmente significativas) que una secuencia de números. En algunos casos, esto permite el uso de servidores virtuales, como servidores HTTP, distinguiéndolos por el nombre de la solicitud. Inicialmente, la conversión entre dominio y direcciones IP se realizaba mediante un archivo de texto especial hosts , que se compilaba de forma centralizada y se enviaba automáticamente a cada una de las máquinas de su red local. Con el crecimiento de la Web, surgió la necesidad de un mecanismo eficiente y automatizado, que se convirtió en DNS.

DNS fue desarrollado por Paul Mokapetris en 1983 ; la descripción original de los mecanismos de trabajo se encuentra en RFC 882 y RFC 883 . En 1987 , la publicación de RFC 1034 y RFC 1035 cambió la especificación de DNS y dejó en desuso a RFC 882 , RFC 883 y RFC 973 .

Funciones adicionales

• soporte para actualizaciones dinámicas
• protección de datos ( DNSSEC ) y transacciones ( TSIG )
• soporte para varios tipos de información

Historia

El uso de un nombre más simple y fácil de recordar en lugar de una dirección de host numérica es de la era ARPANET . El Instituto de Investigación de Stanford (ahora SRI International ) mantuvo un archivo de texto HOSTS.TXT que asignaba nombres de host a direcciones numéricas de computadora en ARPANET . El mantenimiento de las direcciones numéricas, denominada lista de números asignados, estuvo a cargo de Jon Postel en el Instituto de Ciencias de la Información (ISI) de la Universidad del Sur de California, cuyo equipo trabajó en estrecha colaboración con el NII [1] .

Las direcciones se asignaban manualmente. Para solicitar un nombre de host y una dirección y agregar una computadora al archivo maestro, los usuarios se comunicaron con el Centro de Información de la Red (NIC) de SRI, dirigido por Elisabeth Feinler , por teléfono durante el horario comercial.

A principios de la década de 1980, el mantenimiento de una única tabla de host centralizada se había vuelto lento y engorroso, y la creciente red necesitaba un sistema de nombres automático para tratar los problemas técnicos y de personal. Postel se impuso la tarea de llegar a un compromiso entre cinco propuestas en competencia para resolver el problema planteado por Paul Mokapetris. En cambio, Mokapetris creó el concepto de un sistema de nombres de dominio jerárquico.

El Grupo de Trabajo de IETF publicó las especificaciones originales en RFC 882 y RFC 883 en noviembre de 1983.

En 1984, cuatro estudiantes de UC Berkeley , Douglas Terry, Mark Painter, David Riggle y Songnian Zhou, escribieron la primera versión del servidor de nombres BIND (Berkeley Internet Name Daemon) . En 1985, Kevin Dunlap de DEC revisó significativamente la implementación de DNS. Mike Karel, Phil Almquist y Paul Vixey han apoyado a BIND desde entonces. A principios de la década de 1990, BIND se transfirió a la plataforma Windows NT . Está muy extendido, especialmente en sistemas Unix, y sigue siendo el software de DNS más utilizado en Internet.

En noviembre de 1987, se adoptaron las especificaciones DNS: RFC 1034 y RFC 1035 . Desde entonces, se han adoptado cientos de RFC que modifican y complementan el DNS.

Problemas de seguridad

Inicialmente, las preocupaciones de seguridad no fueron consideraciones importantes en el desarrollo del software DNS, o cualquier software que se implementara en los inicios de Internet, ya que la red no estaba abierta al público en general. Sin embargo, el crecimiento de Internet en el sector comercial en la década de 1990 cambió los requisitos de las medidas de seguridad para proteger la integridad de los datos y la autenticación de los usuarios.

Los atacantes han descubierto y explotado varias vulnerabilidades. Uno de estos problemas es el envenenamiento de caché de DNS , en el que los datos se propagan a los resolutores de almacenamiento en caché con el pretexto de ser un servidor de origen autorizado, lo que contamina el almacén de datos con información potencialmente falsa y fechas de caducidad prolongadas (tiempo de vida). Posteriormente, las solicitudes de aplicaciones legítimas pueden redirigirse a hosts de red controlados por el atacante.

Las respuestas de DNS no se firmaron previamente criptográficamente, lo que permite una variedad de opciones de ataque. Las extensiones modernas de seguridad de nombres de dominio ( DNSSEC ) modifican el DNS para agregar soporte para respuestas firmadas criptográficamente. Otras extensiones, como TSIG, agregan soporte para autenticación criptográfica entre pares confiables y se usan comúnmente para autorizar transferencias de zona u operaciones de actualización dinámica.

Algunos nombres de dominio se pueden utilizar para lograr efectos de suplantación de identidad. Por ejemplo, paypal.com y paypa1.com son nombres diferentes, pero es posible que los usuarios no puedan distinguirlos en la GUI según la fuente elegida por el usuario. En muchas fuentes, la letra l y el número 1 se ven muy similares o incluso idénticos. Este problema es grave en los sistemas que admiten nombres de dominio internacionalizados porque muchos de los códigos de caracteres ISO 10646 se pueden mostrar en pantallas de computadora típicas. Esta vulnerabilidad a veces se aprovecha en el phishing .

También se pueden utilizar técnicas como el DNS inverso con validación directa de registros para validar los resultados del DNS, pero no son criptográficamente válidas; esto no tiene en cuenta la opción de sustituir la información de enrutamiento ( secuestro de BGP en inglés  ).

Terminología y principios operativos

Los conceptos clave de DNS son:

• Dominio ( dominio en inglés   "área"): un nodo en el árbol de nombres, junto con todos los nodos subordinados a él (si los hay), es decir, una rama o subárbol con nombre en el árbol de nombres. La estructura de un nombre de dominio refleja el orden de los nodos en la jerarquía; el nombre de dominio se lee de izquierda a derecha desde dominios menores hasta dominios de nivel superior (en orden ascendente de importancia): en la parte superior está el dominio raíz (que tiene el identificador "" (punto)), debajo están los dominios de primer nivel ( zonas de dominio ), luego - los dominios de segundo nivel, el tercero, etc. (por ejemplo, para una dirección, el dominio de primer nivel es, el segundo es, el tercero es). DNS le permite no especificar el punto del dominio raíz..ru.wikipedia.org.orgwikipediaru
• Subdominio ( subdominio en inglés  ) - un dominio subordinado (por ejemplo, - un subdominio del dominioy - el dominio). En teoría, dicha división puede tener hasta 127 niveles de profundidad, y cada etiqueta puede contener hasta 63 caracteres, hasta que la longitud total, incluidos los puntos, alcance los 254 caracteres. Pero en la práctica , los registradores de nombres de dominio utilizan restricciones más estrictas. Por ejemplo, si tiene un dominio de vista, puede crear diferentes subdominios de vista para él,etc.wikipedia.orgorgru.wikipedia.orgwikipedia.orgmydomain.rumysite1.mydomain.rumysite2.mydomain.ru
• Un registro de recursos  es una unidad de almacenamiento y transmisión de información en el DNS. Cada registro de recursos tiene un nombre (es decir, está vinculado a un nombre de dominio específico , un nodo en el árbol de nombres), un tipo y un campo de datos , cuyo formato y contenido dependen del tipo .
• Una zona  es parte de un árbol de nombres de dominio (incluidos los registros de recursos ), alojada como una sola unidad en algún servidor de nombres de dominio (servidor DNS , consulte a continuación) y, más a menudo, simultáneamente en varios servidores (consulte a continuación). El propósito de aislar una parte del árbol en una zona separada es transferir la responsabilidad (ver más abajo) del dominio correspondiente a otra persona u organización. Esto se llama delegación (ver más abajo). Como parte conectada del árbol, la zona interior también es un árbol. Si consideramos el espacio de nombres DNS como una estructura de zonas, y no hosts/nombres individuales, también obtenemos un árbol; se justifica hablar de zonas de padres e hijos, de mayores y subordinados. En la práctica, la mayoría de las zonas de nivel 0 y 1 ('.', ru, com, …) constan de un solo nodo al que las zonas secundarias están subordinadas directamente. En grandes dominios corporativos (segundo o más niveles), a veces se forman niveles subordinados adicionales sin separarlos en zonas secundarias.
• La delegación  es la operación de transferir la responsabilidad de una parte del árbol de nombres de dominio a otra persona u organización. La delegación en DNS garantiza la administración y el almacenamiento distribuidos. Técnicamente , la delegación se expresa en la asignación de esta parte del árbol a una zona separada y la ubicación de esta zona en un servidor DNS (ver más abajo) administrado por esta persona u organización. Al mismo tiempo, los registros de recursos de " pegado " (NS y A) que contienen punteros a los servidores DNS de la zona secundaria se incluyen en la zona principal, y toda la demás información relacionada con la zona secundaria ya está almacenada en los servidores DNS de la zona secundaria. zona infantil.
• Servidor DNS  : software especializado para dar servicio a DNS, así como la computadora en la que se ejecuta este software. El servidor DNS puede ser responsable de algunas zonas y/o puede reenviar solicitudes a servidores ascendentes.
• El cliente DNS  es una biblioteca (o programa) especializada para trabajar con DNS. En algunos casos, el servidor DNS actúa como cliente DNS.
• Autoridad ( ing.  autorizado ) - un signo de la ubicación de la zona en el servidor DNS. Las respuestas del servidor DNS pueden ser de dos tipos: autorizadas (cuando el servidor afirma que es responsable de la zona en sí) y no autorizadas ( es decir ,  no autorizadas ), cuando el servidor procesa la solicitud y devuelve una respuesta de otros servidores. En algunos casos, en lugar de pasar más la solicitud, el servidor DNS puede devolver un valor ya conocido (por solicitudes anteriores) (modo de almacenamiento en caché).
• Consulta de DNS ( ing. Consulta de  DNS ): una solicitud del cliente (o servidor) al servidor. Una consulta puede ser recursiva o no recursiva (ver recursión ).

El sistema DNS contiene una jerarquía de servidores DNS , correspondiente a una jerarquía de zonas . Cada zona es compatible con al menos un servidor DNS autorizado (del inglés  autoritativo  - autorizado), que contiene información sobre el dominio.

El nombre y la dirección IP no son idénticos  : una dirección IP puede tener muchos nombres, lo que le permite admitir muchos sitios web en una computadora (esto se denomina alojamiento virtual ). Lo contrario también es cierto: muchas direcciones IP se pueden asignar al mismo nombre: esto le permite crear equilibrio de carga .

Para aumentar la estabilidad del sistema, se utilizan muchos servidores que contienen información idéntica y el protocolo tiene medios para mantener el sincronismo de la información ubicada en diferentes servidores. Hay 13 servidores raíz , sus direcciones prácticamente no cambian. [2]

El protocolo DNS utiliza el puerto 53 de TCP o UDP para responder a las consultas. Tradicionalmente, las solicitudes y respuestas se envían como un solo datagrama UDP . TCP se utiliza cuando el tamaño de los datos de respuesta supera los 512 bytes y para solicitudes AXFR .

Recursividad

El término recursión en DNS se refiere al algoritmo de comportamiento del servidor DNS : "realizar en nombre del cliente una búsqueda completa de la información necesaria en todo el sistema DNS, si es necesario, refiriéndose a otros servidores DNS" .

Una consulta de DNS puede ser recursiva  (que requiere una búsqueda completa) y no recursiva (o iterativa ), que no requiere una búsqueda completa.

De manera similar, un servidor DNS puede ser recursivo (capaz de realizar búsquedas completas) y no recursivo (no capaz de realizar búsquedas completas). Algunos software de servidor DNS, como BIND , se pueden configurar para consultar a algunos clientes de forma recursiva y consultar a otros de forma no recursiva .

Al responder a una consulta no recursiva , así como la imposibilidad o prohibición de realizar consultas recursivas , el servidor DNS o bien devuelve datos sobre la zona de la que es responsable , o bien devuelve un error. La configuración de un servidor no recursivo, cuando la respuesta devuelve las direcciones de los servidores que tienen más información sobre la zona solicitada que el servidor que responde (la mayoría de las veces, las direcciones de los servidores raíz), son incorrectas y dicho servidor puede ser utilizado para organizar ataques DoS .

En el caso de una consulta recursiva , el servidor DNS sondea los servidores (en orden descendente del nivel de zona en el nombre) hasta que encuentra una respuesta o encuentra que el dominio no existe (en la práctica, la búsqueda comienza desde el DNS más cercano). servidores al deseado, si la información sobre ellos está disponible en caché y actualizada, es posible que el servidor no consulte a otros servidores DNS).

Considere el ejemplo de la operación de todo el sistema.

Supongamos que escribimos en el navegador la dirección ru.wikipedia.org. El navegador busca una coincidencia entre esta dirección y la dirección IP en el archivo de hosts . Si el archivo no contiene una coincidencia, entonces el navegador le pregunta al servidor DNS: "¿cuál es la dirección IP de ru.wikipedia.org"? Sin embargo, es posible que el servidor DNS no solo no sepa nada sobre el nombre solicitado, sino incluso sobre todo el dominio wikipedia.org. En este caso, el servidor se comunica con el servidor raíz  , por ejemplo, 198.41.0.4. Este servidor dice: "No tengo información sobre esta dirección, pero sé que 204.74.112.1 es responsable de la zona org". Luego, el servidor DNS envía su solicitud a 204.74.112.1, pero responde "No tengo información sobre este servidor, pero sé que 207.142.131.234 es el responsable de la zona wikipedia.org". Finalmente, la misma solicitud se envía al tercer servidor DNS y recibe una respuesta, una dirección IP, que se transmite al cliente, el navegador.

En este caso, al resolver un nombre, es decir, en el proceso de búsqueda de una IP por nombre:

• el navegador envió una solicitud recursiva al servidor DNS que conoce; en respuesta a este tipo de solicitud, el servidor debe devolver un "resultado final", es decir, una dirección IP, o una respuesta vacía y un código de error NXDOMAIN;
• El servidor DNS que recibió la solicitud del navegador envió solicitudes no recursivas en secuencia, a las que recibió respuestas de otros servidores DNS, hasta que recibió una respuesta del servidor responsable de la zona solicitada;
• los otros servidores DNS mencionados estaban procesando solicitudes de forma no recursiva (y lo más probable es que no hubieran procesado solicitudes de forma recursiva, incluso si tal requisito estuviera en la solicitud).

A veces es posible que el servidor solicitado envíe una consulta recursiva a un servidor DNS "upstream" y espere una respuesta lista.

Con el procesamiento de consultas recursivas , todas las respuestas pasan por el servidor DNS y tiene la oportunidad de almacenarlas en caché . Una solicitud repetida de los mismos nombres generalmente no va más allá del caché del servidor , no hay llamadas a otros servidores en absoluto. El tiempo de caché permitido para las respuestas viene con las respuestas ( campo TTL del registro de recursos ).

Las solicitudes recursivas requieren más recursos del servidor (y crean más tráfico), por lo que generalmente se aceptan desde nodos "conocidos" por el propietario del servidor (por ejemplo, el proveedor brinda la capacidad de realizar solicitudes recursivas solo a sus clientes, en un entorno corporativo). red, las solicitudes recursivas se aceptan solo desde el segmento local). Las consultas no recursivas generalmente se reciben de todos los hosts en la red (y solo las consultas sobre la zona alojada por el host reciben una respuesta significativa, las consultas de DNS para otras zonas generalmente devuelven direcciones de otros servidores).

Consulta DNS inversa

El DNS se usa principalmente para resolver nombres simbólicos en direcciones IP, pero también puede realizar el proceso inverso. Para ello se utilizan las herramientas DNS existentes. El hecho es que se pueden comparar varios datos con un registro DNS, incluido algún nombre simbólico. Hay un dominio especial in-addr.arpacuyas entradas se utilizan para convertir direcciones IP en nombres simbólicos. Por ejemplo, para obtener un nombre DNS para una dirección 11.22.33.44, puede consultar el servidor DNS para obtener una entrada 44.33.22.11.in-addr.arpay devolverá el nombre simbólico correspondiente. El orden inverso de escribir partes de la dirección IP se debe a que en las direcciones IP los bits altos se ubican al principio, y en los nombres DNS simbólicos los bits altos (ubicados más cerca de la raíz) se ubican al final.

Registros DNS

Los registros DNS , o resource records ( registros de recursos en inglés  , RR ), son unidades de almacenamiento y transmisión de información en el DNS. Cada registro de recursos consta de los siguientes campos [3] :

• nombre (NOMBRE) - el nombre de dominio al que está vinculado este registro de recursos o "propiedad",
• tipo de registro de recursos (TYPE) - define el formato y el propósito de este registro de recursos,
• clase (CLASS) del registro de recursos; teóricamente se cree que el DNS puede usarse no solo con TCP/IP , sino también con otros tipos de redes, el código en el campo de clase determina el tipo de red [3] ,
• TTL (Tiempo de vida): el tiempo permitido para almacenar este registro de recursos en el caché de un servidor DNS irresponsable ,
• longitud del campo de datos (RDLEN),
• campo de datos (RDATA), cuyo formato y contenido depende del tipo de registro .

Los tipos más importantes de registros DNS son:

• Una A ( registro de dirección ) o registro de dirección asocia un nombre de host con una dirección IPv4. Por ejemplo, consultar un registro A para un nombre referrals.icann.orgdevolverá su dirección IPv4 - 192.0.34.164.
• Un AAAA ( registro de dirección IPv6 ) asocia un nombre de host con una dirección IPv6 . Por ejemplo, consultar un registro AAAA para un nombre K.ROOT-SERVERS.NETdevolverá su dirección IPv6 - 2001:7fd::1.
• Se utiliza un registro CNAME ( registro de nombre canónico ) o un registro de nombre canónico (alias) para redirigir a otro nombre.
• El registro MX ( intercambio de correo ) o intercambiador de correo especifica los servidores de intercambio de correo para el dominio dado.
• El registro NS ( servidor de nombres ) apunta al servidor DNS para el dominio dado.
• Un registro PTR ( puntero [4] [5] ) es un DNS inverso o registro de puntero que asocia la dirección IP de un host con su nombre canónico. Una consulta de dominio para la dirección IP de un host en forma inversa devolverá el nombre ( FQDN ) de ese host (consulte Consulta de DNS inversa ). Por ejemplo (en el momento de escribir este artículo), para una dirección IP , una consulta de registro PTR devolverá su nombre canónico . Para reducir el volumen de correo no solicitado (spam), muchos servidores de recepción de correo electrónico pueden buscar un registro PTR para el host desde el que se envía. En este caso, el registro PTR para la dirección IP debe coincidir con el nombre del servidor de correo de envío que parece ser durante la sesión SMTP .in-addr.arpa192.0.34.164164.34.0.192.in-addr.arpareferrals.icann.org
• El registro SOA ( Start of Authority ) o el registro inicial de la zona indica en qué servidor se almacena la información de referencia sobre este dominio, contiene información de contacto de la persona responsable de esta zona, tiempos (parámetros de tiempo) para el almacenamiento en caché de la información de la zona y la interacción entre servidores DNS.
• SRV-record ( selección de servidor ) especifica servidores para servicios, utilizados, en particular, para Jabber y Active Directory .

Nombres de dominio reservados

RFC 2606 ( Nombres DNS de nivel superior reservados) define los nombres de dominio que se deben usar como ejemplos (por ejemplo, en la documentación) y también con fines de prueba. Además example.comde , example.orgyexample.net , este grupo también incluye test, invalidetc.

Nombres de dominio internacionalizados

Un nombre de dominio solo puede constar de un conjunto limitado de caracteres ASCII , lo que permite escribir la dirección del dominio independientemente del idioma del usuario. ICANN ha aprobado un sistema IDNA basado en Punycode que convierte cualquier cadena Unicode en un juego de caracteres DNS válido.

Software DNS

Servidores de nombres:

• BIND (dominio de nombre de Internet de Berkeley) [1]
• djbdns ( DNS de Daniel J. Bernstein ) [2]
• dnsmasq [3]
• MaraDNS [4]
• NSD (demonio del servidor de nombres) [5]
• DNS potente [6]
• DNS abierto [7]
• Microsoft DNS Server (en versiones de servidor de sistemas operativos Windows NT )
• Mi DNS [8]

Véase también

• EDNS  es el nuevo estándar de protocolo DNS
• Servidores raíz DNS alternativos
• DNS abierto
• DNS público de Google
• Yandex.DNS
• ciberocupación
• Tipos en cuclillas
• DNS Dinámico
• Round robin DNS  : equilibrio de carga entre servidores idénticos.
• ICANN
• DNSSEC
• cliente DNS
• servidor DNS
• Nsbúsqueda
• Transferencia de zona DNS

Notas

1. ↑ Anales de IEEE [3B2-9] man2011030074.3d 11:54. . - 29/7/011. — Página 74 pág.
2. ↑ La versión actual de la zona raíz siempre se encuentra en: ftp://ftp.internic.net/domain/named.root
3. ↑ 1 2 Sistema de nombres de dominio (DNS)  Consideraciones de la IANA . herramientas.ietf.org. Consultado el 7 de febrero de 2019. Archivado desde el original el 2 de agosto de 2020.
4. ↑ PV Mockapetris. Nombres de dominio: conceptos y facilidades  . herramientas.ietf.org. Consultado el 7 de febrero de 2019. Archivado desde el original el 23 de junio de 2018.
5. ↑ PV Mockapetris. Nombres de dominio: implementación y especificación  (inglés) . herramientas.ietf.org. Consultado el 7 de febrero de 2019. Archivado desde el original el 3 de abril de 2019.

Enlaces

•  Directorio de recursos DNS
• Recursos de DNS y BIND Archivado el 2 de septiembre de 2006 en Wayback Machine . 
•  Sociedad CircleID DNS
• Mejora de la seguridad de DNS (DNSSEC  )
• Comité de trabajo del IETF sobre especificación de DNS extendida (DNSEXT  )
•  Sitio web de servidores DNS raíz
• Ver registros DNS de un dominio
• Catálogo de herramientas web de DNS en dmoz.org Archivado el 13 de noviembre de 2018 en Wayback Machine . 

Artículos

• Resumen de esquemas y tipos de ataques DNS

RFC

• RFC 1034  - Nombres de dominio - Conceptos e instalaciones
• RFC 1035  - Nombres de dominio - Implementación y especificación
• RFC 1912  : errores comunes de configuración y funcionamiento de DNS
• RFC 1591  - Estructura y delegación del sistema de nombres de dominio
• RFC 1713  - Herramientas para la depuración de DNS
• RFC 2606  - Nombres DNS de nivel superior reservados