DNS без магии: от запроса до проверенной службы

DNS — распределённая иерархия типизированных записей. Доменное имя указывает узел, а полное доменное имя FQDN не зависит от локальной точки отсчёта и поискового суффикса.

Зона — административная единица DNS. Родительская зона делегирует дочернюю с помощью набора записей NS и направляет запрос к её серверам, а не отвечает за её содержимое.

Авторитетный сервер отвечает по данным своей зоны. Записи NS называют такие серверы, а SOA хранит сведения о вершине зоны, её серийный номер и параметры передачи.

Тип записи задаёт её смысл: A/AAAA возвращают IP-адреса, CNAME — псевдоним, MX — почтовый сервер. Ни одна такая запись сама по себе не доказывает, что служба доступна и подлинна.

Локальный DNS-клиент формирует итоговый QNAME и передаёт работу рекурсивному резолверу. Поэтому при диагностике нужно учитывать файл hosts, поисковый суффикс и выбранный резолвер.

При итеративном разрешении резолвер следует указаниям к более точному источнику ответа. Заполненный кэш позволяет начать ниже корневой зоны или сразу вернуть набор записей.

TTL ограничивает срок повторного использования обычного набора записей. Если большое значение уже попало в кэш, его нельзя мгновенно сократить, уменьшив TTL в авторитетной зоне только в момент изменения.

Ответы NXDOMAIN и NODATA кэшируются отдельно и на свой срок. Тайм-аут или ошибка проверки не доказывают, что имени не существует.

Раздельный DNS выбирает представление зоны по сети и контексту резолвера. Поэтому публичный DoH во время работы через VPN может получить другой корректный ответ, чем корпоративный резолвер.

DNSSEC подписывает наборы записей и доказательства отсутствия имени. Записи DNSKEY, DS, RRSIG и NSEC выполняют разные роли и только вместе образуют проверяемую цепочку.

Цепочка начинается с якоря доверия: проверенный DS родительской зоны сопоставляют с DNSKEY дочерней и этим ключом проверяют RRSIG набора DNSKEY; только затем ключи проверяют остальные подписи зоны.

Проверяющий резолвер различает четыре состояния: защищённое, неподписанное, ошибочное и неопределённое. Биту AD можно доверять только при защищённом соединении с доверенным резолвером.

DoT шифрует DNS-сообщения, но проверяет сервер резолвера только в строгом профиле; оппортунистический профиль этого не требует. DNSSEC проверяется отдельно.

DoH передаёт DNS-сообщения через HTTPS и проверяет сервер DoH. При этом выбранный резолвер получает доверие к запросам, правила их обработки и видимость запрашиваемых имён.

Запись SRV задаёт целевой узел, порт, приоритет и вес; профиль протокола определяет имя запроса и порядок выбора. DNS-SD добавляет перечисление через PTR и дополнительные сведения в TXT.

SVCB публикует альтернативную конечную точку и расширяемые параметры. Запись HTTPS применяет эту модель к исходным адресам HTTP, в том числе передаёт ALPN и подсказки адресов.

Альтернативная цель не получает доверие автоматически: записи SVCB и HTTPS не отменяют проверку подлинности исходной службы по правилам PKIX.

Найденный адрес становится проверенной конечной точкой только после реального подключения и сопоставления имени в сертификате. Права приложения проверяются отдельным слоем.