I computer si collegano a indirizzi IP; le persone ricordano nomi. Il Domain Name System traduce tra i due, miliardi di volte al secondo, per lo più dalla cache, in pochi millisecondi.
I protagonisti
- Resolver locale (stub): il piccolo client DNS del sistema operativo o del browser.
- Resolver ricorsivo: un server che fa il lavoro di trovare le risposte, gestito dal tuo provider o da un servizio pubblico come 1.1.1.1, 8.8.8.8 o 9.9.9.9.
- Server radice: sanno dove si trova ogni dominio di primo livello.
- Server TLD: per
.it,.ro,.come così via. Sanno quali name server sono responsabili di ciascun dominio. - Name server autoritativi: hanno i record effettivi del dominio.
Una ricerca, passo per passo
Quando apri www.example.it e non c’è nulla in cache:
- Il dispositivo chiede al resolver ricorsivo il record A (IPv4) e il record AAAA (IPv6) di
www.example.it. - Il resolver interroga un server radice, che risponde con i server di
.it. - Interroga un server .it, che risponde con i name server di
example.it(i suoi record NS). - Interroga uno dei name server di example.it, che restituisce l’indirizzo.
- Il resolver ti consegna la risposta e la mette in cache.
Cache e TTL
Ogni record ha un TTL (time to live) in secondi. I resolver conservano una risposta per quel tempo prima di chiedere di nuovo. Per questo il DNS è veloce, e per questo le modifiche richiedono tempo: un record con TTL di un’ora può essere servito dalla cache fino a un’ora dopo la modifica. Abbassa il TTL prima di un trasloco programmato. Con la verifica della propagazione DNS vedi cosa hanno in cache, in questo momento, diversi resolver pubblici.
Non solo indirizzi
Il DNS indica anche:
- dove consegnare la posta (MX),
- quali nomi sono alias (CNAME),
- quali server possono inviare posta e quali autorità possono emettere certificati (TXT per SPF/DMARC, CAA),
- quali server sono autoritativi (NS, SOA),
- e, al contrario, quale nome corrisponde a un indirizzo IP (PTR).
Ogni tipo di record ha una breve guida: A, AAAA, CNAME, MX, TXT, NS.
Sicurezza: DNSSEC e DNS cifrato
Il DNSSEC permette ai resolver di verificare che le risposte provengano davvero dal proprietario del dominio, grazie a firme pubblicate nel DNS. DNS-over-HTTPS e DNS-over-TLS cifrano il collegamento tra te e il resolver, così altri sulla rete non possono leggere o modificare le tue query. Risolvono problemi diversi e funzionano bene insieme.
Guardalo in tempo reale
La ricerca DNS interroga in tempo reale tutti i tipi di record comuni e mostra TTL e stato DNSSEC: prova con example.com.