Os computadores ligam-se a endereços IP; as pessoas lembram-se de nomes. O Domain Name System traduz entre os dois – milhares de milhões de vezes por segundo, quase sempre a partir da cache, em poucos milissegundos.
Os intervenientes
- Resolvedor stub: o pequeno cliente DNS do seu sistema operativo ou navegador.
- Resolvedor recursivo: um servidor que faz o trabalho de encontrar as respostas – gerido pelo seu operador ou por um serviço público como 1.1.1.1, 8.8.8.8 ou 9.9.9.9.
- Servidores raiz: sabem onde está cada domínio de topo. Há treze servidores raiz lógicos, mas centenas de cópias em todo o mundo graças ao anycast.
- Servidores de domínio de topo: para
.fi,.pt,.come assim por diante. Sabem que servidores de nomes são responsáveis por cada domínio. O registo.fié gerido pela Agência Finlandesa de Transportes e Comunicações, Traficom. - Servidores de nomes autoritativos: têm os registos reais do domínio.
Uma consulta, passo a passo
Quando abre www.example.fi e não há nada em cache:
- O dispositivo pede ao seu resolvedor recursivo o registo A (IPv4) e o registo AAAA (IPv6) de
www.example.fi. - O resolvedor pergunta a um servidor raiz, que responde com os servidores de
.fi. - Pergunta a um servidor .fi, que responde com os servidores de nomes de
example.fi(os seus registos NS). - Pergunta a um dos servidores de nomes de example.fi, que devolve o endereço.
- O resolvedor entrega-lhe a resposta – e guarda-a em cache.
Cache e TTL
Cada registo tem um TTL (time to live) em segundos. Os resolvedores guardam uma resposta durante esse tempo antes de voltarem a perguntar. É por isso que o DNS é rápido – e é por isso que as alterações demoram: um registo com TTL de uma hora pode continuar a ser servido da cache até uma hora depois de o alterar. Baixe o TTL antes de uma mudança planeada. Com a propagação de DNS pode ver o que vários resolvedores públicos têm em cache neste momento.
Mais do que endereços
O DNS indica também:
- para onde entregar o correio (MX),
- que nomes são aliases (CNAME),
- que servidores podem enviar correio e que autoridades de certificação podem emitir certificados (TXT para SPF/DMARC, CAA),
- que servidores são autoritativos (NS, SOA),
- e, ao contrário, que nome corresponde a um endereço IP (PTR).
Cada tipo de registo tem um guia curto: A, AAAA, CNAME, MX, TXT, NS.
Segurança: DNSSEC e DNS cifrado
O DNSSEC permite aos resolvedores verificar que as respostas vêm realmente do titular do domínio, através de assinaturas publicadas no DNS. Pode verificar a cadeia de um domínio com a verificação de DNSSEC. O DNS-over-HTTPS e o DNS-over-TLS cifram a ligação entre si e o resolvedor, para que outros na rede não possam ler nem alterar as suas consultas. Resolvem problemas diferentes e funcionam bem em conjunto.
Veja em tempo real
A consulta de DNS pede todos os tipos de registo habituais em tempo real e mostra o TTL e o estado do DNSSEC – experimente com traficom.fi.