Słowniczek DNS

Szybkie, proste definicje pojęć DNS, na jakie trafisz. Pojęcia z pełnym przewodnikiem są linkowane.

Resolver: Serwer, który wyszukuje rekordy DNS w Twoim imieniu — zwykle dostawcy internetu albo publiczny, jak 8.8.8.8 czy 1.1.1.1. Nazywany też resolwerem rekurencyjnym.
Serwer autorytatywny: Serwer przechowujący faktyczne rekordy DNS dla domeny — źródło prawdy, o które ostatecznie pytają resolvery.
Strefa: Fragment przestrzeni nazw DNS zarządzany jako całość — zwykle jedna domena i jej subdomeny, zdefiniowane w pliku strefy na serwerze autorytatywnym.
TTL (Time To Live): Jak długo, w sekundach, resolver może przechowywać rekord w cache przed ponownym zapytaniem serwera autorytatywnego.
Propagacja: Czas potrzebny, by zmiana DNS dotarła do wszystkich resolverów na świecie, zależny od poprzedniego TTL.
NXDOMAIN: Odpowiedź autorytatywna oznaczająca, że zapytana nazwa nie istnieje w strefie.
SERVFAIL: Resolver w ogóle nie zdołał dokończyć zapytania — niedostępne serwery, zepsuta delegacja albo nieudana walidacja DNSSEC.
Wierzchołek strefy / domena główna: Sama domena bez subdomeny (example.com, nie www.example.com). Rekordy CNAME nie są tu dozwolone.
DNSSEC: Zestaw rozszerzeń kryptograficznie podpisujących rekordy DNS, by resolvery mogły zweryfikować, że odpowiedzi nie zostały sfałszowane.
DoH (DNS over HTTPS): Zapytania DNS szyfrowane i wysyłane przez HTTPS, zapobiegające podsłuchowi lub manipulacji na ścieżce sieciowej.
DoT (DNS over TLS): Zapytania DNS szyfrowane przez dedykowane połączenie TLS — ten sam cel co DoH, inny transport.
SPF: Rekord TXT DNS wymieniający, które serwery pocztowe są upoważnione do wysyłania e-maili dla domeny.
DKIM: Kryptograficzny podpis dodawany do wychodzącej poczty, by odbiorcy mogli zweryfikować, że nie została zmieniona w drodze.
DMARC: Rekord polityki mówiący odbierającym serwerom pocztowym, co zrobić, gdy SPF i DKIM oba zawiodą, plus dostarczający raportowanie.
Rekord glue: Rekord A dla serwera nazw, który znajduje się wewnątrz obsługiwanej przez siebie domeny (np. ns1.example.com dla example.com), potrzebny, by uniknąć zapytania kołowego.
Rekord wildcard: Rekord używający * jako nazwy hosta (*.example.com), który pasuje do każdej subdomeny niezdefiniowanej inaczej.
SOA (Start of Authority): Rekord zawierający metadane strefy: podstawowy serwer nazw, kontakt administracyjny, numer seryjny i wartości czasowe cache.
Delegacja: Wskazanie subdomeny lub strefy na inny zestaw serwerów nazw za pomocą rekordów NS, przekazujące autorytet nad tą częścią przestrzeni nazw.
Zatruwanie cache (cache poisoning): Wstrzyknięcie sfałszowanej odpowiedzi DNS do cache resolvera, by przekierować ruch — atak, przed którym ma chronić DNSSEC.
Przejęcie subdomeny: Przejęcie subdomeny, której rekord DNS wciąż wskazuje na usługę zewnętrzną porzuconą przez pierwotnego właściciela, co pozwala atakującemu publikować tam treści pod zaufaną domeną.
Atak amplifikacyjny: Technika DDoS polegająca na wysłaniu małego sfałszowanego zapytania do otwartego resolvera, by zalał on sfałszowany adres źródłowy znacznie większą odpowiedzią, mnożąc pasmo atakującego.
Otwarty resolver: Resolver DNS odpowiadający na zapytania rekurencyjne z dowolnego adresu IP w internecie, a nie tylko z własnej sieci, co czyni go użytecznym jako reflektor w atakach amplifikacyjnych.
Anycast: Technika routingu, w której ten sam adres IP jest ogłaszany z wielu fizycznych lokalizacji, więc zapytanie automatycznie obsługuje najbliższa z nich.
Kody statusu EPP: Standaryzowane kody (np. clientTransferProhibited, serverHold), którymi rekord WHOIS pokazuje, co rejestrator lub rejestr aktualnie blokuje lub ogranicza w domenie.
CGNAT (NAT klasy operatorskiej): Konfiguracja, w której dostawca internetu dzieli jeden publiczny adres IP między wielu klientów, co może uczynić lokalizację lub identyfikację po adresie IP niewiarygodną.
Happy Eyeballs: Algorytm, dzięki któremu oprogramowanie klienckie próbuje połączeń IPv6 i IPv4 równolegle i zachowuje to, które połączy się pierwsze, dzięki czemu dodanie rekordów AAAA niesie niewielkie ryzyko.
RRL (ograniczanie liczby odpowiedzi): Zabezpieczenie na serwerach autorytatywnych, które ogranicza liczbę identycznych odpowiedzi wysyłanych do tego samego pozornego źródła, osłabiając ataki amplifikacyjne DNS.
BCP38: Dobra praktyka filtrowania sieciowego, która blokuje pakiety opuszczające sieć ze sfałszowanym adresem źródłowym, powstrzymując ataki amplifikacyjne u ich źródła, a nie u celu.