DNS

Komunikace mezi jednotlivými IP uzly probíhá na základě IP adres, které jednoznačně definují každého klienta rozsáhlé počítačové sítě

Tento přístup je pro člověka nevhodný a těžko zapamatovatelný

DNS (Domain Name System) je řešení, které umožňuje:

·          využít symbolických adres

·          skrýt nedostatky nebo strukturu sítě

·          rozdělit síť dle logické přehlednosti

·          definovat, vytvářet a spravovat přidělené zóny (rozdělit otevřenou síť do správních oblastí)

·          možnost využití jmen při komunikaci není jediným důsledkem zavedení DNS

Jmenný systém musí vyřešit problematiku:

·          zásady tvorby, přidělování a správy jmen

·          vytvoření a systematické údržby jmenné databáze

·          zajištění komunikačních a převodních mechanizmů

·          mnoho dalších problémů souvisejících s nasazením DNS

Internet, respektive otevřená počítačová síť, je rozdělen do tzv. domén

·          domény systému DNS zajišťují logické zpřehlednění a rozdělení jednotlivých fyzických částí do jednotného celku

·          d rámci domény je možné vytvářet podskupiny – subdomény

·          každá skupina má přiřazeno jméno, z jednotlivých jmen se pak skládá doménové jméno uzlu

Doménové jméno:

·          skládá se z řetězců vzájemně oddělených tečkou

·          jméno se zkoumá zprava doleva

·          nejvyšší instancí je tzv. root doména, vyjadřuje se tečkou zcela vpravo (většinou se vynechává)

·          V root doméně jsou definovány tzv. generické domény –TLD

·          Top Level Domains: edu, com, net, org, mil, int, arpa a dvojznakové domény jednotlivých států (ISO-3166)

·          jména tvoří stromovou strukturu = první řetězec je jméno počítače, další řetězec je jméno nejnižší vnořené domény

·          celé jméno může mít max. 255 znaků, jednotlivé řetězce max. 63 znaků

·          řetězce mohou obsahovat písmena, číslice, pomlčky (nesmí být na začátku nebo na konci)

·          možno používat malá i velká písmena

·          na počítačích uvnitř domény je možné psát pouze jméno počítače bez domény

·          DNS funguje hierarchicky

·          Na internetu jsou rozmístěné tzv. kořenové servery –servery, které zajišťují kořenovou zónu (pro doménu .xxx)

·          Mají tedy přehled o delegaci toplevel domén, jako je COM, EDU, DE nebo CZ

·          Každá doména nižší úrovně musí mít server, který zajišťuje funkčnost a propojení v systému DNS

·          Servery v hierarchii na sebe navzájem odkazují a společně tak vyřeší jakýkoli dotaz

Reverzní překlad je překlad IP adresy na doménové jméno

·          záznam definující vazbu IP adresy na doménové jméno je záznam PTR

·          reverzní překlad využívají některé programy (ftp, traceroute,...)

·          pokud není v DNS zaveden reverzní záznam pro doménové jméno, mohou některé služby nesprávně pracovat

·          záznamy PTR, respektive reverzní domény jsou důležité (ne každý poskytovatel tento princip zodpovědně realizuje)

Reverzní doména je vždy vytvářena a delegována pro síť IP adres

·          pro síť 194.149.177 musí být v DNS vytvořena a delegována reverzní doména 177.149.194.in-addr.arpa

Reverzní doména tedy nijak nesouvisí s klasickou doménou

V jedné reverzní doméně se mohou vyskytovat doménová jména z různých domén

Typy reverzních domén se odvíjejí od rozsahu používané sítě

Příkladem může být použití rozsah 256 IP adres – síť třídy C

O delegaci reverzních domén pro sítě třídy B a C se nestarají národní sdružení NIC, ale mezinárodní organizace přidělující IP adresy.

·          v Evropě delegaci reverzních domén zajišťuje organizace RIPE

·          na jmenný server RIPE ns.ripe.net jsou delegovány reverzní domény pro sítě IP adres, které RIPE přiděluje

·          poskytovatelům, tedy např.: 200.in-addr.arpa, 201.in-addr.arpa, 202.in-addr.arpa

·          RIPE deleguje reverzní domény pro menší intervaly IP adres –sítě třídy C na jmenné servery poskytovatelů nebo koncových uživatelů

Data o doméně uložené na name serveru jsou nazývány zónou

Zóna obsahuje jen část domény. Doména je skupina počítačů, které mají společnou pravou část svého doménového jména

Autonomní systémy dělí Internet z hlediska IP-adres (směrování), naproti tomu domény dělí Internet z hlediska jmen počítačů. Reverzní domény kopírují strukturu poskytovatelů Internetu

Jmenný server udržuje informace pro překlad jmen počítačů na IP-adresy (resp. pro reverzní překlad)

·          obhospodařuje nějakou část z prostoru jmen všech počítačů – zónu

·          name server může pomocí věty typu NS ve své konfiguraci delegovat spravování subdomény na name server nižší úrovně

·          name server je program, který provádí na žádost resolveru překlad

Primární name server

·          udržuje data o své zóně v databázích na disku

·          na primárním name serveru má smysl editovat databázi

Sekundární name server

·          kopíruje databáze v pravidelných časových intervalech z primárního name serveru

Primární i sekundární name servery jsou tzv. autoritou pro své domény, jejich informace se považují za nezvratná (autoritativní)

Caching only server

·          není autoritou –využívá obecné vlastnosti name serveru, tj. data, která jím prochází, ukládá ve své paměti

·          tato data se označují jako neautoritativní, každý server je caching server, ale slovy caching only zdůrazňujeme, že pro žádnou zónu není ani primárním, ani sekundárním name serverem

Root name server

·          name server obsluhující root doménu

·          root name server je primárním serverem – rozdílné od ostatních name serverů

Jeden name server může být pro nějakou zónu primárním name serverem, pro jinou sekundárním

·          Z hlediska klienta není mezi primárním a sekundárním name serverem rozdíl

·          Pro správnou činnost musí name server znát root name servery (není pro ně však autoritou)

Forwarding a slave servery

·          nesouvisí s tím, zda jsou primárními nebo sekundárními servery pro nějakou zónu, ale souvisí se způsobem jejich překladu

Předávání dotazů

·          forwarding server vezme požadavek od klienta a předá jej forwarderovi na rychlé síti jako rekurzivní dotaz

·          forwarder je server v Internetu, který je připojen rychlejšími linkami = dotaz rekurzivně vyřeší a pošle zpět forwarding serveru konečný výsledek

·          pro forwarding je praktické použít name server poskytovatele Internetu

Slave server

·          slave servery se používají v uzavřených podnikových sítích (za firewallem), kde není možný kontakt s root name servery

·          slave server pak kontaktuje forwardera, který je součástí firewallu

·          slave server musí být forwarding server

·          oba mohou být caching only servery

·          oba mohou být primární nebo sekundární name servery pro určitou zónu

Doménová služba je realizována jednoduchým protokolem DNS

·          tento protokol pracuje způsobem dotaz – odpověď =

·          klient pošle dotaz serveru a server na dotaz odpoví =

·          jistou komplikací je komprese jmen, která se provádí proto, aby byly DNS pakety co nejúspornější =

·          DNS je protokol aplikační vrstvy, neřeší tedy otázku vlastního přenosu paketů =

·          využívá DNS jako transportní protokoly UDP i TCP =

·          dotaz i odpověď jsou přenášeny vždy stejným transportním protokolem.U dotazů na překlad (tj. žádosti o RR record) je dávána přednost protokolu UDP

V případě, že je DNS odpověď delší než 512 B, vloží se do odpovědi pouze část informací nepřesahující 512 B

Bit TC v záhlaví specifikuje o neúplnou odpověď = Klient si může kompletní odpověď vyžádat protokolem TCP

U přenosu zón např. mezi primárním a sekundárním name serverem se používá protokol TCP

Name server standardně očekává dotazy jak na portu 53/udp, tak na portu 53/tcp

DNS nejčastěji využívá UDP

·          datagram se vyšle prvnímu serveru

·          nepřijde-li odpověď do krátkého časového okamžiku, pošle se datagram s žádostí dalšímu

·          zkusí se další, pak se kolečko opakuje do vypršení časového intervalu

·          tento přístup maximalizuje rychlost z důvodu existence více name serverů

Přeložení jména na IP-adresu zprostředkovává tzv. resolver

Resolver je klient, který se dotazuje name serveru

Databáze je celosvětově distribuována

·          Nejbližší name server nemusí znát odpověď, proto tento name server může žádat o překlad další name servery

·          Veškerá komunikace se skládá z dotazů a odpovědí

Name server po startu načte do paměti data pro zónu, kterou spravuje:

·          Primární name server načte data z lokálního disku

·          Sekundární name server dotazem zone transfer získá data z primárního name serveru

Name server i resolver společně sdílejí paměť cache

·          Do ní ukládají kladné odpovědi na dotazy, které provedly jiné name servery

·          Šetří čas při opětovných dotazech

Resolver zformuluje požadavek na name server a očekává jednoznačnou odpověď =

Odpověď hledá ve své cache paměti, zde se nacházejí data získaná při předešlých řešeních (autoritativní i neautoritativní)

·          nezná-li odpověď, pak kontaktuje další servery (name server musí znát IP-adresy root name serverů)

·          není-li dostupný žádný root name server, pak pokus o překlad zkolabuje

Root name server zjistí, že informace o doméně cz delegoval větou typu NS na name server nižší úrovně

Dotazujícímu se name serveru vrátí IP-adresu separujícího doménu cz

Name server se obrátí na server pro doménu cz, který zjistí, že informace o doméně delegovala větou NS na nižší úroveň

Vrátí tedy IP-adresu serveru spravujícího doménu uhk.cz

Server se obrátí na server spravující doménu uhk.cz, který požadavek vyřeší (nebo ne) a výsledek vrátí klientovi

Informace, které server obdržel, si uloží do cache

= „A“ – pro převod doménového jména na IPv4 adresu

·          „AAAA“ – pro převod doménového jména na IPv6 adresu

„CNAME“ – alias doménového jména na jiné doménové jméno = jeden počítač může mít více logických jmen pro různé služby (www.fim.cz, ftp.fim.cz) = může provozovat jednu službu pro více domén (www.uhk.cz, www.fim.cz atd.)

„MX“ – na jaké doménové jméno se má směrovat pošta pro nějakou doménu

·          může, ale nemusí být doménovým jménem konkrétního počítače

·          jeden počítač může přijímat poštu pro více domén

·          změnou v DNS lze směrovat poštu jinam, třeba na centrální podnikový mailserver

„NS“ – který počítač slouží jako DNS server pro danou doménu

„PTR“ – reverzní záznam = jaké je doménové jméno pro konkrétní IP adresu (192.168.1.1.in-addr.arpa PTR lide.uhk.cz)

„SOA“ - zajišťuje určitou část režijních informací =

·          označuje DNS server pro danou doménu jako primární (Start Of Authority)

Existují určitá pravidla pro formální čistotu DNS

·          nemělo by být zapsáno více A (AAAA) záznamů (doménových jmen) na jedinou IP adresu

·          aliasy lze vytvořit pomocí CNAME

·          záznamy MX, NS, CNAME, PTR a SOA by měly ukazovat zásadně na A záznam (FQDN – hlavní a jedinečné doménové jméno)

·          příslušný reverzní záznam musí přesně odpovídat

·          V případě nedodržení pravidel je pravděpodobná nefunkčnost některých služeb a síťových programů

·          A a PTR záznamy můžou způsobovat nemožnost připojení se na anonymní FTP servery

·          Některé další servery v rámci své bezpečnostní politiky považují rozdílnost záznamů, respektive chyby v DNS jako nebezpečnou činnost, které se snaží zamezit (obrana před potenciálním útokem)

Registrace domény je v současné době jednoduchá

·          proces registrace je do značné míry automatizován =

·          existuje větší množství poskytovatelů, respektive delegovaných registrátorů =

·          delegace domény a konfigurace vlastního serveru je daleko složitějším problémem pro správce sítě

Delegace domény – obvykle z příčiny změny poskytovatele

·          zprovoznění primárního name server pro doménu =

·          konfigurujeme sekundárního name server pro doménu, případně požádáme o jeho konfiguraci svého poskytovatele Internetu =

·          žádost o delegaci domény v doméně vyšší úrovně =

·          pokud se jedná o doménu druhé úrovně, je třeba ještě registrovat doménu v databázi domén =

·          změna delegace domény v doméně vyšší úrovně

Po provedení změny delegace je vhodné nechat běžet alespoň původní sekundární name server (s novými daty) několik dní =

V paměti name serverů po celém světě je ještě IP adresa původních serverů =

Okamžité zastavení primárního i sekundárních name serverů by mohlo způsobit problémy