Jak działa DNS? Internet po ludzku

Wpisujesz adres w przeglądarce, wciskasz Enter i po ułamku sekundy widzisz stronę. Wydaje się, że komputer po prostu “wie”, gdzie ją znaleźć. W rzeczywistości między naciśnięciem klawisza a pojawieniem się treści rozgrywa się cała mała podróż, a jej głównym bohaterem jest DNS. To skrót od Domain Name System, czyli system nazw domenowych. Bez niego internet, jaki znamy, po prostu by nie działał, a my musielibyśmy zapamiętywać ciągi cyfr zamiast wygodnych nazw.

W tym tekście tłumaczymy, jak działa DNS, bez żargonu i bez upraszczania do granicy nieprawdy. Poznasz drogę, jaką pokonuje zapytanie o adres, zrozumiesz, po co jest pamięć podręczna i tajemniczy parametr TTL, a na koniec dowiesz się, dlaczego czasem “strona nie działa”, choć tak naprawdę winowajcą jest właśnie DNS.

Domeny i adresy IP, czyli książka telefoniczna internetu

Każde urządzenie w sieci ma swój adres numeryczny, zwany adresem IP. W starszej wersji protokołu (IPv4) wygląda on jak cztery liczby oddzielone kropkami, na przykład 93.184.216.34. W nowszej (IPv6) jest to znacznie dłuższy ciąg znaków szesnastkowych. Komputery świetnie radzą sobie z takimi numerami, ale ludzie nie. Nikt nie chce wpisywać cyfr, żeby wejść na ulubiony serwis.

Tu wkracza DNS. Jego rola przypomina starą papierową książkę telefoniczną albo listę kontaktów w telefonie. Ty pamiętasz nazwę, na przykład “mama”, a telefon zamienia ją na właściwy numer. DNS robi dokładnie to samo: bierze przyjazną nazwę domeny, którą wpisałeś, i tłumaczy ją na adres IP serwera, na którym stoi dana strona. Ta zamiana nazywana jest po angielsku “resolution”, czyli rozwiązywaniem nazwy.

Warto od razu zapamiętać jedno rozróżnienie. Domena to adres, który wpisujesz, na przykład nazwa serwisu z rozszerzeniem .pl albo .com. Serwer DNS to maszyna, która pomaga tę nazwę przetłumaczyć na numer. To dwie różne rzeczy, choć w codziennej rozmowie często mieszane.

Podróż jednego zapytania, krok po kroku

Załóżmy, że wpisujesz adres i wciskasz Enter. Twój komputer nie zna adresu IP tej strony, więc musi go od kogoś uzyskać. Pierwszym przystankiem jest tak zwany resolver rekurencyjny. Najczęściej należy on do twojego dostawcy internetu, ale może to być też publiczny resolver, o których za chwilę. Resolver to taki uczynny asystent, który obiecuje: “zdobędę dla ciebie tę odpowiedź, choćbym musiał zapytać kilka osób”.

Jeśli resolver nie ma jeszcze odpowiedzi w pamięci, rusza w drogę i pyta trzy poziomy serwerów. Najpierw kieruje pytanie do serwera głównego, zwanego root. Serwerów tego najwyższego poziomu jest trzynaście, oznaczonych literami od A do M, zarządzanych przez dwanaście różnych organizacji, a fizycznie rozsianych po całym świecie w tysiącach lokalizacji dzięki technologii anycast. Serwer root nie zna adresu twojej strony, ale wie, kogo zapytać dalej. Odsyła resolver do serwera odpowiedzialnego za końcówkę domeny, na przykład .pl albo .com.

Ten serwer, zwany serwerem domeny najwyższego poziomu (w skrócie TLD), też nie zna dokładnego adresu strony, ale wie, który serwer jest za nią bezpośrednio odpowiedzialny. Wskazuje więc resolverowi tak zwany serwer autorytatywny. To ostatni przystanek. Serwer autorytatywny przechowuje prawdziwą odpowiedź i podaje resolverowi konkretny adres IP. Resolver przekazuje go twojemu komputerowi, przeglądarka łączy się z serwerem strony i treść zaczyna się ładować.

Cała ta wymiana, obejmująca kilka pytań i odpowiedzi wysłanych przez pół świata, zwykle trwa dziesiątki milisekund. Dobre publiczne resolvery potrafią zwrócić odpowiedź dla świeżego zapytania w okolicach kilkunastu do trzydziestu milisekund, czyli szybciej, niż zdążysz mrugnąć.

Rekordy DNS, czyli co naprawdę jest zapisane

Serwer autorytatywny nie przechowuje jednej informacji, lecz zestaw wpisów zwanych rekordami. Każdy rekord to inny typ danych o domenie. Najważniejszy dla nas jest rekord A, który wiąże nazwę z adresem IPv4. Jego odpowiednikiem dla nowszych adresów IPv6 jest rekord AAAA.

Innych rodzajów jest sporo i warto znać kilka. Rekord CNAME to alias, czyli wskazanie, że jedna nazwa jest w istocie odsyłaczem do innej. Rekord MX mówi, dokąd kierować pocztę e-mail wysyłaną na daną domenę. Rekord TXT przechowuje dowolny tekst i często służy do potwierdzania, że jesteś właścicielem domeny, albo do zabezpieczeń poczty. Kiedy zakładasz stronę czy sklep, to właśnie te rekordy ustawiasz w panelu swojej domeny, żeby połączyć nazwę z serwerem i skrzynką. Jeśli chcesz zobaczyć to w praktyce, pomoże poradnik, jak założyć sklep internetowy w Polsce krok po kroku.

Cache i TTL, czyli dlaczego zmiany nie działają od razu

Gdyby przy każdym wejściu na stronę trzeba było odpytywać serwery root, TLD i autorytatywny, internet byłby wolny, a serwery przeciążone. Dlatego DNS oszczędza pracę dzięki pamięci podręcznej, czyli cache. Kiedy resolver raz zdobędzie odpowiedź, zapamiętuje ją na jakiś czas. Twoja przeglądarka i system operacyjny też mają własne małe pamięci podręczne. Przy kolejnej wizycie odpowiedź jest podawana natychmiast, bez podróży przez pół świata.

Jak długo taka odpowiedź jest przechowywana, decyduje parametr o nazwie TTL, czyli Time To Live. To liczba sekund, przez którą wynik można uznawać za świeży. Właściciel domeny ustawia TTL przy każdym rekordzie. Jeśli wynosi on godzinę, resolvery na całym świecie mogą trzymać starą odpowiedź nawet przez tę godzinę, zanim zapytają ponownie.

To wyjaśnia częste zdziwienie. Zmieniasz adres serwera w rekordzie DNS, panel pokazuje, że zapisano, a mimo to część osób wciąż widzi starą wersję strony. Nie ma tu żadnej awarii. Po prostu ich resolvery nadal mają w pamięci poprzednią odpowiedź i będą jej używać, dopóki nie minie TTL. Dlatego doświadczeni administratorzy przed planowaną zmianą obniżają TTL z wyprzedzeniem, na przykład do kilku minut, żeby aktualizacja rozeszła się szybciej. Ta zwłoka bywa nazywana propagacją DNS.

Kiedy “strona nie działa”, a to wina DNS

Bardzo wiele awarii, które wyglądają jak problem ze stroną, to w rzeczywistości kłopot z DNS. Jeśli resolver nie potrafi przetłumaczyć nazwy na adres, przeglądarka nie ma dokąd się połączyć i pokazuje komunikat w rodzaju “nie znaleziono adresu serwera”. Sama strona może działać idealnie, tylko drogowskaz do niej zawiódł.

Powodów bywa kilka. Czasem resolver dostawcy internetu ma chwilową usterkę. Czasem właściciel domeny zapomniał przedłużyć jej ważność albo źle ustawił rekordy. Bywa też, że w twojej sieci lokalnej coś blokuje zapytania. Prostym testem jest sprawdzenie, czy problem znika po zmianie resolvera na publiczny.

I tu dochodzimy do praktycznej wiedzy. Zamiast resolvera dostawcy możesz w ustawieniach sieci wpisać jeden z publicznych. Najpopularniejsze to Cloudflare pod adresem 1.1.1.1, Google pod 8.8.8.8 oraz Quad9 pod 9.9.9.9. Ten ostatni prowadzony jest przez szwajcarską organizację non profit i dodatkowo blokuje domeny powiązane ze złośliwym oprogramowaniem oraz phishingiem, po prostu nie zwracając dla nich adresu. Warto też wiedzieć, że nowoczesny DNS potrafi być szyfrowany. Techniki DNS over HTTPS oraz DNS over TLS ukrywają treść twoich zapytań przed osobami po drodze, co jest plusem dla prywatności.

Na koniec zapamiętaj trzy rzeczy. DNS to książka telefoniczna internetu, która zamienia nazwy na adresy. Cache i TTL sprawiają, że jest szybki, ale też że zmiany potrzebują czasu, by się rozejść. A gdy strona nagle znika, zanim wpadniesz w panikę, warto sprawdzić, czy to nie po prostu DNS. Jeśli chcesz zgłębiać, jak działa sieć od kuchni, ta wiedza jest fundamentem, na którym stoi cała reszta.