System DNS

System DNS (ang. Domain Name System, po polsku system nazw domenowych) to hierarchiczny, rozproszony system, który tłumaczy nazwy stron na adresy IP. Bez niego nie zadziałałaby żadna strona, poczta ani usługa dostępna pod domeną. Ten artykuł tłumaczy, czym jest System DNS, jak działa krok po kroku, jakie ma rodzaje serwerów i zapytań, jak wyglądają rekordy DNS oraz jak zabezpiecza go DNSSEC. Piszemy to z perspektywy firmy, która na co dzień administruje serwerami i utrzymuje strefy DNS klientów.

Co to jest System DNS i do czego służy?

System DNS (Domain Name System) tłumaczy zrozumiałe dla człowieka nazwy stron, takie jak nodea.pl, na adresy IP typu 188.116.34.251, których używają komputery. To rozproszony system nazw działający w warstwie aplikacji modelu TCP/IP, komunikujący się głównie przez protokół UDP na porcie 53.

Najprostsze porównanie to książka telefoniczna: do nazwy przypisany jest "numer", czyli adres IP. Wpisujesz nazwę domeny, a System DNS odnajduje przypisany do niej numer i kieruje połączenie we właściwe miejsce. Bez tego mechanizmu każdy użytkownik musiałby pamiętać ciągi cyfr zamiast czytelnych nazw, a każda zmiana serwera oznaczałaby konieczność rozsyłania nowego adresu IP do wszystkich odwiedzających.

Za spójność całego systemu odpowiadają globalne instytucje: IANA i ICANN nadzorują przestrzeń nazw i adresów, a w Polsce domeną .pl zarządza NASK. Dzięki tej hierarchii jedna nazwa domenowa jest unikalna na całym świecie i prowadzi zawsze do tego samego zasobu.

Jak działa System DNS?

Jak działa System DNS? Tłumaczy nazwę domeny na adres IP w kilku krokach: od Twojej przeglądarki, przez jeden z 13 serwerów root, aż do serwera autorytatywnego domeny. Cały proces trwa ułamki sekundy i jest niewidoczny dla użytkownika.

Rozwiązywanie nazwy przebiega tak:

1. Przeglądarka pyta lokalny serwer DNS (resolver dostawcy internetu) o adres IP domeny, np. nodea.pl.
2. Jeśli resolver nie zna odpowiedzi, pyta jeden z 13 serwerów root o to, kto obsługuje domenę najwyższego poziomu — tu .pl.
3. Serwer root wskazuje serwery odpowiedzialne za domenę .pl, a te wskazują serwery autorytatywne konkretnej domeny (dla nodea: ns1.nodea.net.pl i ns2.nodea.net.pl).
4. Serwer autorytatywny zwraca właściwy adres IP, a przeglądarka nawiązuje połączenie z serwerem docelowym.

Kluczową rolę odgrywa tu cache. Gdy resolver pozna już adres IP, zapamiętuje go na czas określony parametrem TTL, więc powtórne zapytanie o tę samą domenę jest natychmiastowe i nie angażuje serwerów root. Oprócz DNS systemy Windows używają też lokalnych mechanizmów rozwiązywania nazw w sieci lokalnej, takich jak NetBIOS i LLMNR, które działają tylko wewnątrz jednej sieci i nie mają nic wspólnego z globalną hierarchią DNS.

Ta sama hierarchia stoi za każdą usługą działającą pod domeną: nie tylko stroną WWW, ale też pocztą e-mail, serwerem FTP czy panelem hostingu. Za każdym razem, gdy Twój program potrzebuje połączyć się z nazwą domenową, System DNS w tle zamienia ją na adres IP właściwego serwera. Dlatego błędna konfiguracja rekordów lub źle wskazane serwery nazw odcinają od razu wszystkie te usługi — nie tylko witrynę.

Jakie są rodzaje serwerów DNS?

Serwery DNS dzielą się na serwery domeny głównej (root), serwery autorytatywne oraz serwery master i slave — łącznie na świecie działa 13 zestawów serwerów root. Każdy z tych typów pełni inną funkcję w hierarchii systemu nazw domenowych.

• Serwery domeny głównej (root) — 13 zestawów serwerów oznaczonych literami od a do m (a.root-servers.net do m.root-servers.net), rozmieszczonych na całym świecie w setkach kopii dzięki technologii anycast. To one wskazują, gdzie szukać domen najwyższego poziomu, takich jak .pl, .com czy .net.
• Serwery autorytatywne — przechowują dane konkretnej domeny i udzielają wiążących odpowiedzi z własnej bazy. To tu znajdują się właściwe rekordy DNS Twojej domeny.
• Serwer master i serwer slave — master trzyma główną konfigurację strefy DNS, a slave pobiera z niego kopię po każdej zmianie i działa jako serwer zapasowy. Taki podział zapewnia redundancję.

Każda domena powinna mieć minimum 2 serwery DNS. W Nodea są to ns1.nodea.net.pl i ns2.nodea.net.pl — wskazanie tych serwerów w rekordach NS domeny to warunek, aby ruch trafiał na nasz hosting. To także pierwszy praktyczny krok, gdy chcesz podpiąć domenę do hostingu.

Jakie są rodzaje zapytań DNS?

Zapytania DNS dzielą się na rekurencyjne (serwer musi znaleźć pełną odpowiedź) i iteracyjne (serwer podaje tylko najlepszą znaną wskazówkę). Do tego dochodzi podział odpowiedzi na autorytatywne i nieautorytatywne.

• Zapytanie rekurencyjne — zmusza serwer do znalezienia pełnej odpowiedzi (adresu IP) albo zwrócenia błędu. Wysyła je program użytkownika, czyli resolver, który przejmuje całą pracę odpytywania kolejnych serwerów.
• Zapytanie iteracyjne — serwer podaje najlepszą znaną odpowiedź, czyli adres innego serwera, i nie łączy się dalej sam. Ten typ zapytań krąży między serwerami DNS w trakcie rozwiązywania nazwy.

Odpowiedzi również dzielą się na dwa rodzaje. Odpowiedź autorytatywna pochodzi wprost z bazy serwera odpowiedzialnego za domenę. Odpowiedź nieautorytatywna pochodzi z cache innego serwera i jest ważna tylko przez czas TTL — po jego upływie serwer musi zapytać ponownie o aktualne dane.

W typowym rozwiązywaniu nazwy oba typy zapytań współpracują: resolver dostawcy przyjmuje zapytanie rekurencyjne od Twojej przeglądarki, a następnie sam wysyła serię zapytań iteracyjnych — najpierw do serwera root, potem do serwera domeny .pl, aż do serwera autorytatywnego. Tę pracę wykonuje jeden resolver, więc Twój komputer widzi tylko jedną, gotową odpowiedź z adresem IP. To rozłożenie ról odciąża serwery root, które w innym wypadku musiałyby obsługiwać każde pojedyncze zapytanie z całego internetu.

Rekordy DNS

Rekord DNS to pojedynczy wpis w strefie DNS, który przypisuje nazwie konkretną wartość — najczęściej adres IP, nazwę serwera pocztowego albo alias. Wszystkie rekordy domeny znajdują się w jej strefie DNS i to one decydują, dokąd trafia ruch WWW i poczta.

Najważniejsze typy rekordów i ich zastosowanie:

• A — przypisuje domenie adres IPv4, np. 188.116.34.251. Kieruje ruch WWW na właściwy serwer.
• AAAA — przypisuje domenie adres IPv6, nowszy standard adresacji.
• CNAME — alias domeny, wskazujący jedną nazwę na drugą (np. www na domenę główną).
• MX — wskazuje serwer pocztowy obsługujący pocztę domeny i jego priorytet.
• NS — wskazuje serwery autorytatywne (nazw) danej domeny.
• SOA — rekord startowy strefy z parametrami, m.in. serwerem master i wartościami czasowymi.
• TXT — dowolny tekst, wykorzystywany m.in. przez rekordy SPF, DKIM i DMARC.
• SRV — wskazuje host i port konkretnej usługi (np. komunikatora).
• PTR — odwrotne mapowanie adresu IP na nazwę, istotne przy weryfikacji nadawcy poczty.

W praktyce najczęściej edytuje się rekordy A, CNAME i MX — to one decydują, gdzie działa strona i skąd wysyłana jest poczta. Zestaw tych rekordów tworzy strefę DNS domeny.

Rekordy SPF, DKIM i DMARC — bezpieczeństwo poczty

Rekordy SPF, DKIM i DMARC to wpisy w strefie DNS, które chronią domenę przed podszywaniem się i decydują, czy Twoja poczta trafia do skrzynki odbiorcy, czy do spamu. Wszystkie trzy zapisuje się jako rekordy TXT w strefie DNS domeny.

SPF (Sender Policy Framework) określa, które serwery mają prawo wysyłać pocztę w imieniu domeny. Przykładowy rekord SPF hostingu Nodea wygląda tak:

v=spf1 a mx include:spf.nodea.net.pl ~all

Poszczególne elementy oznaczają:

• v=spf1 — wersja mechanizmu SPF.
• a — pozwala wysyłać pocztę serwerowi wskazanemu w rekordzie A domeny.
• mx — pozwala wysyłać serwerom z rekordów MX domeny.
• include:spf.nodea.net.pl — dołącza serwery wysyłkowe Nodea.
• ~all — kwalifikator softfail: pozostała poczta jest oznaczana jako podejrzana, ale nie odrzucana od razu.

DKIM (DomainKeys Identified Mail) dodaje do każdej wiadomości cyfrowy podpis, który serwer odbiorcy weryfikuje kluczem publicznym opublikowanym w DNS — potwierdza, że treść nie została zmieniona po drodze. DMARC spina SPF i DKIM w jedną politykę: mówi serwerom odbiorców, co robić z pocztą, która nie przeszła weryfikacji (przepuścić, oznaczyć jako spam albo odrzucić), i pozwala zbierać raporty o próbach podszycia. Poprawna konfiguracja tych trzech rekordów to podstawa dostarczalności poczty firmowej.

Jak wygląda bezpieczeństwo Systemu DNS?

System DNS chroni rozszerzenie DNSSEC, które dodaje kryptograficzne podpisy do danych — bez niego DNS jest podatny na spoofing, zatrucie cache i ataki DDoS. Podatność wynika z tego, że DNS opiera się na bezpołączeniowym protokole UDP na porcie 53 i pierwotnie nie miał mechanizmów autoryzacji odpowiedzi.

Główne zagrożenia dla Systemu DNS:

• Zatrucie cache DNS (cache poisoning) — wstrzyknięcie fałszywej odpowiedzi do pamięci podręcznej serwera, który potem przez czas TTL kieruje użytkowników na podstawiony adres IP.
• DNS spoofing — podszywanie się pod serwer DNS i zwracanie sfałszowanych odpowiedzi, kierujących ofiarę na stronę atakującego.
• Ataki DDoS wzmacniane przez DNS — wykorzystanie otwartych serwerów DNS do zwielokrotnienia ruchu kierowanego na cel ataku.
• Atak man in the middle — przechwytywanie i podmiana zapytań DNS między klientem a serwerem.

DNSSEC (Domain Name System Security Extensions) to rozszerzenie, które dodaje do danych DNS podpisy cyfrowe i kryptograficzną walidację. Dzięki niemu resolver sprawdza, czy odpowiedź faktycznie pochodzi z autorytatywnego serwera i nie została podmieniona — co skutecznie chroni przed spoofingiem i zatruciem cache. Więcej o samym mechanizmie znajdziesz w haśle DNSSEC w słowniku pojęć.

Czym jest strefa DNS i jak działa cache?

Strefa DNS to plik zawierający wszystkie rekordy domeny i jej subdomen — serwery DNS trzymają jego odpowiedzi w pamięci podręcznej przez czas określony parametrem TTL. To w strefie DNS zarządza się rekordami A, MX, CNAME czy TXT, którymi steruje serwer master.

Kilka pojęć, które warto rozróżnić:

• Strefa DNS — zbiór rekordów jednej domeny wraz z subdomenami, przechowywany na serwerze autorytatywnym. Serwer master zarządza jej oryginałem, a slave trzyma kopię.
• Cache DNS (pamięć podręczna) — serwery przechowują poznane odpowiedzi przez czas TTL, dzięki czemu kolejne zapytania o tę samą nazwę są szybsze i nie obciążają serwerów autorytatywnych.
• Subdomena — rozszerzenie domeny głównej, np. blog.przyklad.pl, definiowane jako osobne rekordy w tej samej strefie DNS.

Parametr TTL to kompromis między szybkością a aktualnością: wysoki TTL odciąża serwery, ale spowalnia rozejście się zmian; niski TTL przyspiesza propagację, ale generuje więcej zapytań. Przed planowaną migracją domeny obniża się TTL z wyprzedzeniem. Praktyczne zarządzanie rekordami opisujemy szerzej w artykule o strefie DNS.

Co zrobić, gdy serwer DNS nie odpowiada?

Serwer DNS nie odpowiada oznacza, że komputer nie może połączyć się z serwerem tłumaczącym nazwy domen na adresy IP — najczęściej pomaga restart routera lub zmiana serwera DNS. Ten komunikat pojawia się, gdy resolver dostawcy jest przeciążony, źle skonfigurowany albo chwilowo niedostępny.

Najczęstsze szybkie kroki, które przywracają połączenie:

• Restart routera i karty sieciowej — usuwa większość chwilowych błędów.
• Zmiana serwera DNS na publiczny, np. 1.1.1.1 (Cloudflare) lub 8.8.8.8 (Google).
• Wyczyszczenie lokalnego cache DNS, w Windows komendą ipconfig /flushdns.

Pełny troubleshooting dla różnych systemów i routerów to osobny temat — powyższe kroki rozwiązują większość przypadków bez głębszej diagnostyki.

Nodea to firma z Leszna optymalizująca usługi IT dla biznesu: hosting, VPS KVM, serwery dedykowane, administrację Linux i Windows oraz rejestrację domen. Utrzymujemy strefy DNS klientów i dbamy o poprawną konfigurację rekordów, DNSSEC oraz zabezpieczeń poczty, żeby domeny działały szybko i bezpiecznie.