DNS – co to jest i jak działa? Serwery, rekordy i bezpieczeństwo

DNS (Domain Name System) to usługa, która tłumaczy nazwy domen na adresy IP serwerów – dzięki niej wpisujesz w przeglądarce bezpiecznyinternet.edu.pl zamiast ciągu cyfr. Z DNS korzysta każde urządzenie podłączone do sieci, zwykle przez serwery przydzielone automatycznie przez dostawcę internetu, choć można je zmienić samodzielnie: w systemie, w telefonie lub na routerze. Poniżej wyjaśniamy, jak działa DNS krok po kroku, czym są serwery i rekordy DNS oraz jaki ma on związek z szybkością, bezpieczeństwem, cenzurą i prywatnością w internecie.

Co to jest DNS?

DNS (ang. Domain Name System, system nazw domen) to usługa odpowiadająca za tłumaczenie nazw domen na adresy IP serwerów. Czytelne i łatwe do zapamiętania nazwy, takie jak google.com, zostają powiązane z adresami IP wykorzystywanymi w komunikacji sieciowej. Bez DNS musiałbyś zapamiętywać adresy liczbowe każdej strony, z której korzystasz, dlatego system ten bywa nazywany książką telefoniczną internetu.

Serwery DNS, z których korzysta urządzenie, są przydzielane automatycznie przez dostawcę internetu (za pośrednictwem protokołu DHCP) lub konfigurowane samodzielnie przez użytkownika: na pojedynczym urządzeniu albo na routerze dla całej sieci domowej. Standardowo ustawia się dwa adresy serwerów, aby w razie awarii jednego drugi zapewniał ciągłość działania.

Nad całością systemu czuwa organizacja ICANN, w ramach której działa IANA, koordynująca strefę główną DNS. Zarządzanie domenami najwyższego poziomu ICANN przekazuje wyspecjalizowanym podmiotom: rejestrem domen .pl zajmuje się NASK, a domenami .eu organizacja EURid.

Co to jest serwer DNS i jakie są jego rodzaje?

Serwer DNS to komputer, który odpowiada na pytania o adresy IP przypisane do domen. W obsłudze jednego zapytania uczestniczy zwykle kilka typów serwerów o różnych rolach:

• Serwer rekurencyjny (resolver) – pierwszy punkt kontaktu twojego urządzenia. To on przyjmuje pytanie „jaki adres ma ta domena?” i w twoim imieniu odpytuje kolejne serwery, aż znajdzie odpowiedź. Domyślnie jest to resolver dostawcy internetu, ale publiczne resolvery utrzymują też firmy takie jak Cloudflare, Google czy Quad9.
• Serwery główne (root servers) – szczyt hierarchii. Istnieje 13 tożsamości serwerów głównych (oznaczanych literami A-M), ale wbrew popularnemu mitowi nie jest to 13 komputerów: dzięki technologii anycast każda tożsamość ma dziesiątki lub setki fizycznych instancji rozproszonych po świecie, także w Polsce.
• Serwery TLD – obsługują domeny najwyższego poziomu, np. wszystkie domeny .pl (za które odpowiada NASK).
• Serwery autorytatywne – przechowują szczegółowe rekordy konkretnych domen i udzielają ostatecznej, wiążącej odpowiedzi o ich adresach.

Jak działa DNS krok po kroku?

Zanim zapytanie wyruszy w świat, urządzenie sprawdza pamięć podręczną: system operacyjny i przeglądarka zapamiętują niedawne odpowiedzi DNS na czas określony parametrem TTL. Dzięki temu większość zapytań w ogóle nie opuszcza twojego komputera lub kończy się na resolverze, który też korzysta z własnego cache. Pełna ścieżka uruchamia się dopiero wtedy, gdy odpowiedzi nie ma w żadnej pamięci podręcznej. Na przykładzie naszej domeny wygląda ona tak:

1. Wpisujesz adres bezpiecznyinternet.edu.pl w pasku przeglądarki.
2. Zapytanie trafia do resolvera skonfigurowanego w systemie, domyślnie należącego do dostawcy internetu.
3. Resolver odpytuje jeden z serwerów głównych, który wskazuje serwer obsługujący domeny .pl.
4. Serwer strefy .pl wskazuje serwer autorytatywny, przechowujący dane domeny bezpiecznyinternet.edu.pl, i to do niego resolver kieruje kolejne zapytanie.
5. Serwer autorytatywny odnajduje w bazie adres IP przypisany do domeny i przekazuje go resolverowi.
6. Resolver zwraca adres IP przeglądarce i zapamiętuje odpowiedź na przyszłość.
7. Przeglądarka nawiązuje bezpośrednie połączenie z serwerem strony i ładuje jej zawartość.

Cały proces trwa ułamki sekundy. Pamięć podręczną DNS w Windows można podejrzeć i wyczyścić poleceniami ipconfig /displaydns oraz ipconfig /flushdns – to te same ślady aktywności, o których pisaliśmy przy okazji trybu incognito.

Rekordy DNS – co zawiera konfiguracja domeny

Szczegółowe informacje o domenie przechowują rekordy DNS na serwerach autorytatywnych. Na ich podstawie urządzenia i usługi wiedzą, jak komunikować się z domeną. Najważniejsze typy rekordów to:

• A – adres IPv4 serwera, na który prowadzi domena,
• AAAA – odpowiednik rekordu A dla adresów IPv6,
• CNAME – alias wskazujący na inną nazwę domeny,
• MX – serwery obsługujące pocztę e-mail domeny,
• TXT – dowolny tekst, używany m.in. do weryfikacji własności domeny i zabezpieczeń poczty (SPF, DKIM),
• NS – wskazanie serwerów autorytatywnych obsługujących domenę.

Czy serwery DNS wpływają na szybkość internetu?

Serwer DNS wpływa na odczuwaną szybkość internetu, ale tylko w zakresie początku ładowania się stron – nie zmienia przepustowości łącza. Im szybciej resolver przetłumaczy nazwę domeny na adres IP, tym wcześniej przeglądarka zacznie pobierać stronę. Różnice po zmianie dostawcy DNS nie będą ogromne, ale bywają zauważalne, zwłaszcza gdy dotychczasowy serwer był przeciążony lub fizycznie odległy.

Znaczenie ma też budowa współczesnych stron: pojedyncza witryna potrafi odwoływać się do dziesiątek zewnętrznych zasobów (skrypty, obrazy, reklamy), a każdy z nich może wymagać osobnego zapytania DNS. Drobne opóźnienia mnożą się wtedy przez liczbę zapytań, dlatego publiczni dostawcy DNS utrzymują serwery w wielu lokalizacjach, możliwie blisko użytkowników.

DNS w telefonie i na routerze

Ustawienia DNS znajdziesz nie tylko w komputerze. W telefonie i na routerze oznaczają to samo: wskazują serwer, który tłumaczy domeny na adresy IP dla danego urządzenia lub całej sieci.

W telefonie z Androidem funkcja nazywa się Prywatny DNS (Ustawienia > Sieć i internet > Prywatny DNS). Pozwala wskazać dostawcę DNS obsługującego szyfrowanie DoT, a ustawienie działa zarówno na Wi-Fi, jak i na danych komórkowych. Domyślna wartość automatyczna oznacza, że telefon korzysta z DNS sieci, z którą jest połączony, i włącza szyfrowanie, gdy tylko serwer je obsługuje. Na iPhonie nie ma jednego przełącznika; serwery DNS ustawia się osobno dla każdej sieci Wi-Fi albo systemowo przez profil lub aplikację dostawcy DNS.

Na routerze pole DNS w panelu administracyjnym określa serwery dla wszystkich urządzeń w sieci domowej naraz. To najwygodniejsze miejsce zmiany, jeśli chcesz objąć nią również telewizor, konsolę i sprzęty smart home, które własnych ustawień DNS często nie mają.

Ataki na DNS – DNS spoofing i pokrewne zagrożenia

Struktura DNS bywa wykorzystywana przez cyberprzestępców. Techniki określane zbiorczo jako DNS spoofing polegają na fałszowaniu adresów IP przypisanych do domen, a ich efektem jest przekierowanie użytkownika na złośliwą stronę – nawet wtedy, gdy wpisał poprawny adres. To forma phishingu, w której czujność nie chroni, bo pasek adresu pokazuje właściwą domenę.

Do najczęstszych scenariuszy należą:

• Infekcja złośliwym oprogramowaniem – malware podmienia konfigurację DNS na urządzeniu i kieruje zapytania do fałszywego serwera.
• Przejęcie routera – po zdobyciu dostępu do panelu routera przestępca ustawia na nim własne serwery DNS, przez co przekierowaniu ulega cała sieć domowa.
• Ataki MITM (man-in-the-middle) – atakujący przechwytuje komunikację między użytkownikiem a serwerem DNS i modyfikuje odpowiedzi.
• Zatruwanie pamięci podręcznej (DNS cache poisoning) – podmiana wpisów w cache serwera DNS, która przekierowuje wszystkich jego użytkowników.
• Ataki DDoS na infrastrukturę DNS – przeciążone serwery przestają odpowiadać, a strony „znikają” z internetu, choć fizycznie działają.

Odpowiedzią na te podatności jest DNSSEC: warstwa zabezpieczeń oparta na podpisach cyfrowych, która pozwala zweryfikować, że odpowiedź DNS pochodzi z prawdziwego źródła i nie została sfałszowana po drodze. Jej wdrażanie postępuje, ale wciąż nie obejmuje wszystkich domen.

Bezpieczny DNS – ochrona przed złośliwymi stronami

Serwer DNS może pełnić rolę pierwszej linii obrony przed oszustwami. Mechanizm jest prosty: podczas tłumaczenia domeny resolver sprawdza, czy nie figuruje ona na liście stron niebezpiecznych. Jeżeli tak, strona się nie załaduje, a zamiast niej pojawi się ostrzeżenie. Blokada działa na poziomie całego zapytania, więc chroni nawet wtedy, gdy klikniesz w niebezpieczny link z SMS-a czy e-maila.

W Polsce serwery DNS większości dostawców internetu korzystają z listy ostrzeżeń prowadzonej przez CERT Polska. Czy twój operator z niej korzysta, sprawdzisz na stronie lista.cert.pl. Ten sam mechanizm filtrowania bywa wykorzystywany do blokowania reklam, skryptów śledzących oraz treści dla dorosłych – część publicznych dostawców DNS oferuje osobne warianty rodzinne z takimi filtrami.

Cenzura internetu przy pomocy DNS

Możliwość blokowania domen na serwerze DNS ma też drugą stronę: to jedna z najczęściej stosowanych metod cenzury internetu, bo jest prosta we wdrożeniu. Przy próbie wejścia na zablokowaną stronę użytkownik widzi komunikat o błędzie lub trafia na stronę z informacją o blokadzie. W ten sposób blokowane bywają serwisy niewygodne dla władz, strony dla dorosłych czy serwisy torrentowe.

Z blokad DNS korzysta również polskie państwo: Ministerstwo Finansów prowadzi Rejestr Domen Służących do Oferowania Gier Hazardowych Niezgodnie z Ustawą (hazard.mf.gov.pl), a operatorzy telekomunikacyjni mają obowiązek przekierowywać próby wejścia na wpisane tam domeny do strony z komunikatem ministerstwa.

Obejście cenzury DNS jest równie proste jak jej wdrożenie: wystarczy zmiana resolvera na zagranicznego dostawcę publicznego albo połączenie przez dobrą sieć VPN, która tuneluje również zapytania DNS.

DNS a prywatność w internecie

Zapytania DNS zdradzają, jakie strony odwiedzasz, i właśnie dlatego są łakomym kąskiem. Dostawcy usług telekomunikacyjnych w Polsce mają obowiązek retencji danych na podstawie art. 47 Prawa komunikacji elektronicznej: przez 12 miesięcy przechowują informacje pozwalające ustalić, kto, kiedy i z jaką domeną się łączył, i udostępniają je na żądanie uprawnionych służb. Obowiązek dotyczy zarówno dużych operatorów, jak i małych sieci osiedlowych, a sam model powszechnej retencji jest od lat kwestionowany w orzecznictwie TSUE jako niezgodny z prawem UE.

Dostawca internetu, którego serwerów DNS używasz, widzi więc pełną historię odpytywanych domen. Może na tej podstawie analizować twoje zainteresowania i nawyki, a dane mogą trafić do służb lub, w postaci zagregowanej, do celów analitycznych. Sama zmiana resolvera na zewnętrznego dostawcę przenosi ten wgląd gdzie indziej, ale nie ukrywa zapytań przed operatorem: klasyczne zapytania DNS wędrują nieszyfrowane, więc nadal są widoczne dla każdego, kto obsługuje twoje łącze.

Ochronę zapewnia dopiero szyfrowanie zapytań i tu w ostatnich latach zaszła realna zmiana. DNS over TLS (DoT) i DNS over HTTPS (DoH) to dziś standardowe funkcje: Android obsługuje DoT systemowo jako Prywatny DNS od wersji 9, Windows 11 pozwala włączyć DoH w ustawieniach sieci, a Firefox, Chrome i Edge mają DoH wbudowany w opcje prywatności. Alternatywą pozostaje VPN, który szyfruje całą komunikację, łącznie z zapytaniami DNS. Po włączeniu szyfrowania operator widzi, że korzystasz z DNS, ale nie widzi już, o jakie domeny pytasz.

Najczęstsze pytania