DNS Glossary

Definizioni rapide e in linguaggio chiaro dei termini DNS che incontrerai. I termini con una guida dedicata sono collegati.

Resolver: Un server che consulta i record DNS per tuo conto, di solito quello del tuo provider Internet o uno pubblico come 8.8.8.8 o 1.1.1.1. Detto anche resolver ricorsivo.
Name server autoritativo: Il server che contiene i record DNS reali di un dominio: la fonte di verità che i resolver interrogano in ultima istanza.
Zone: Una porzione dello spazio dei nomi DNS gestita come unità, tipicamente un dominio e i suoi sottodomini, definita da un file di zona sul name server autoritativo.
TTL (Time To Live): Per quanti secondi un resolver può tenere un record in cache prima di interrogare di nuovo il name server autoritativo.
Propagation: Il tempo necessario perché una modifica DNS raggiunga tutti i resolver del mondo, determinato dal TTL precedente.
NXDOMAIN: Una risposta autoritativa che indica che il nome richiesto non esiste nella zona.
SERVFAIL: Il resolver non è riuscito a completare la query: server irraggiungibili, delega interrotta o validazione DNSSEC fallita.
Apex di zona / dominio radice: Il dominio nudo, senza sottodominio (example.com, non www.example.com). Qui i record CNAME non sono ammessi.
DNSSEC: Un insieme di estensioni che firmano crittograficamente i record DNS affinché i resolver possano verificare che le risposte non siano state falsificate.
DoH (DNS over HTTPS): Query DNS cifrate e inviate su HTTPS, così da impedirne l'intercettazione o la manomissione lungo il percorso di rete.
DoT (DNS over TLS): Query DNS cifrate su una connessione TLS dedicata: stesso obiettivo di DoH, trasporto diverso.
SPF: Un record TXT del DNS che elenca quali server di posta sono autorizzati a inviare e-mail per un dominio.
DKIM: Una firma crittografica aggiunta alla posta in uscita perché i destinatari possano verificare che non sia stata alterata durante il transito.
DMARC: Un record di policy che indica ai server di posta riceventi cosa fare quando SPF e DKIM falliscono entrambi, e che fornisce anche i report.
Glue Record: Un record A per un name server che si trova all'interno del dominio che serve (ad esempio ns1.example.com per example.com), necessario per evitare una ricerca circolare.
Record wildcard: Un record che usa * come nome host (*.example.com) e che corrisponde a qualsiasi sottodominio non definito altrimenti.
SOA (Start of Authority): Un record con i metadati della zona: name server primario, contatto amministrativo, numero di serie e valori di temporizzazione della cache.
Delegation: Far puntare un sottodominio o una zona a un altro insieme di name server tramite record NS, cedendo l'autorità su quella parte dello spazio dei nomi.
Cache poisoning: Iniettare una risposta DNS falsificata nella cache di un resolver per dirottare il traffico: esattamente l'attacco che il DNSSEC intende impedire.
Subdomain Takeover: Impossessarsi di un sottodominio il cui record DNS punta ancora a un servizio di terze parti abbandonato dal proprietario originale, permettendo a un attaccante di pubblicarvi contenuti sotto un dominio ritenuto affidabile.
Attacco di amplificazione: Una tecnica DDoS che invia una piccola query falsificata a un resolver aperto affinché inondi l'indirizzo sorgente contraffatto con una risposta molto più grande, moltiplicando la banda dell'attaccante.
Resolver aperto: Un resolver DNS che risponde a query ricorsive da qualsiasi indirizzo IP su internet anziché solo dalla propria rete, il che lo rende sfruttabile come riflettore negli attacchi di amplificazione.
Anycast: Una tecnica di instradamento in cui lo stesso indirizzo IP viene annunciato da molte sedi fisiche, così una query viene automaticamente gestita da quella più vicina.
Codici di stato EPP: Codici standardizzati (es. clientTransferProhibited, serverHold) con cui un record WHOIS mostra cosa il registrar o il registry di un dominio blocca o limita attualmente.
CGNAT (NAT carrier-grade): Una configurazione in cui un ISP condivide un unico indirizzo IP pubblico tra molti clienti, il che può rendere inaffidabile la localizzazione o l'identificazione basata sull'IP.
Happy Eyeballs: Un algoritmo con cui il software client prova connessioni IPv6 e IPv4 in parallelo e mantiene quella che si connette per prima, rendendo l'aggiunta di record AAAA a basso rischio.
RRL (Response Rate Limiting): Una difesa sui server autoritativi che limita le risposte identiche ripetute inviate verso la stessa sorgente apparente, attenuando gli attacchi di amplificazione DNS.
BCP38: Una buona pratica di filtraggio di rete che blocca i pacchetti in uscita da una rete con un indirizzo sorgente falsificato, fermando gli attacchi di amplificazione all'origine anziché al bersaglio.