Jak działa DNS? Wyjaśnienie w prostych słowach

DNS tłumaczy nazwę domeny na adres IP, dzięki czemu wpisujesz w przeglądarce bezpiecznyinternet.edu.pl zamiast długiego ciągu cyfr. Cały proces zwykle trwa ułamki sekundy. Sprawdź, jak działa krok po kroku, czym są rekordy DNS oraz jaki wpływ system ma na szybkość, bezpieczeństwo i prywatność.

Co to jest DNS i dlaczego jest potrzebny?

DNS, czyli Domain Name System, przypomina książkę telefoniczną internetu. Człowiek łatwiej zapamięta nazwę google.com niż adres IPv4 albo znacznie dłuższy adres IPv6. Urządzenia komunikują się jednak za pomocą adresów IP, dlatego system nazw domen musi połączyć czytelną nazwę z konkretnym serwerem.

Ta usługa nie obsługuje wyłącznie stron WWW. DNS pomaga odnaleźć serwery pocztowe, komunikatory, usługi firmowe i inne zasoby sieciowe. Jedna domena może prowadzić do kilku adresów IP, a wiele nazw może wskazywać ten sam adres. Taki układ ułatwia równoważenie ruchu i pozwala utrzymać dostępność usługi po zmianie serwera.

Adresy serwerów DNS urządzenie otrzymuje najczęściej automatycznie przez DHCP. Możesz też wpisać je ręcznie w komputerze, telefonie albo routerze. Zwykle konfiguruje się co najmniej dwa adresy – drugi przejmuje obsługę zapytań, gdy pierwszy chwilowo nie odpowiada.

DNS nie zwiększa przepustowości łącza. Skraca natomiast czas oczekiwania na rozpoczęcie ładowania strony, ponieważ szybciej odnajduje adres IP serwera.

Jak działa DNS krok po kroku?

Co dzieje się po wpisaniu adresu strony? Najpierw przeglądarka i system operacyjny sprawdzają lokalną pamięć podręczną. Jeżeli znajduje się w niej aktualna odpowiedź, komputer nie musi wysyłać pełnego zapytania do internetu.

Brak wpisu uruchamia pracę serwera rekurencyjnego, czyli resolvera. To pierwszy punkt kontaktu urządzenia z systemem DNS. Resolver sprawdza własny cache, a jeśli nie zna odpowiedzi, odpytuje kolejne poziomy hierarchii.

Dla domeny bezpiecznyinternet.edu.pl przebieg wygląda następująco:

1. Wpisujesz nazwę domeny w pasku przeglądarki.
2. Urządzenie kieruje zapytanie do skonfigurowanego resolvera.
3. Resolver pyta serwer główny, który wskazuje serwery obsługujące końcówkę domeny.
4. Serwer strefy, na przykład .pl, wskazuje serwer autorytatywny dla konkretnej domeny.
5. Serwer autorytatywny zwraca rekord z adresem IP.
6. Resolver przekazuje odpowiedź przeglądarce i zapisuje ją na czas określony przez TTL.
7. Przeglądarka łączy się z adresem IP i pobiera zawartość strony.

Serwery główne, określane jako Root Server, mają 13 tożsamości oznaczanych literami A–M. Nie oznacza to trzynastu pojedynczych komputerów. Dzięki anycast każda tożsamość działa w wielu fizycznych lokalizacjach na całym świecie.

Zapytanie rekurencyjne wymaga znalezienia odpowiedzi albo zwrócenia błędu. Zapytanie iteracyjne przekazuje jedynie najlepszą znaną wskazówkę, na przykład adres serwera autorytatywnego. Wymiana odbywa się zazwyczaj przez UDP na porcie 53, natomiast większe odpowiedzi i transfer stref mogą korzystać z TCP.

Jakie są rodzaje serwerów i rekordów DNS?

Każdy typ serwera pełni inną funkcję. Resolver obsługuje urządzenia użytkowników, serwer główny kieruje zapytanie do właściwej domeny najwyższego poziomu, a serwer autorytatywny przechowuje wiążące dane konkretnej domeny.

Konfiguracja domeny znajduje się w rekordach DNS. Każdy rekord opisuje inną zależność między nazwą a usługą:

• rekord A wskazuje adres IPv4 serwera,
• rekord AAAA przypisuje domenie adres IPv6,
• rekord CNAME tworzy alias prowadzący do innej nazwy,
• rekord MX wskazuje serwery poczty elektronicznej,
• rekord TXT przechowuje tekst używany między innymi przez SPF, DKIM i weryfikację domeny,
• rekord NS określa serwery autorytatywne dla domeny,
• rekord SOA zawiera parametry strefy, w tym informacje o serwerze głównym i TTL,
• rekord PTR umożliwia wyszukiwanie odwrotne, czyli ustalenie nazwy na podstawie adresu IP.

TTL określa, jak długo resolver może przechowywać odpowiedź. Krótki czas przyspiesza aktualizację zmian, lecz zwiększa liczbę zapytań. Długi TTL ogranicza ruch DNS, ale sprawia, że zmieniony adres IP może być przez pewien czas niewidoczny dla części użytkowników.

Jak sprawdzić pamięć DNS?

W systemie Windows polecenie ipconfig /displaydns pokazuje zapisane odpowiedzi. Komenda ipconfig /flushdns czyści lokalny cache, co pomaga po zmianie konfiguracji domeny albo przy błędnym przekierowaniu.

Do diagnostyki służą także narzędzia nslookup, host i dig. Pozwalają sprawdzić wybrany rekord, serwer odpowiadający na zapytanie oraz czas uzyskania odpowiedzi.

Czy DNS wpływa na szybkość i ustawienia sieci?

Zmiana resolvera może przyspieszyć początek ładowania strony, szczególnie gdy dotychczasowy serwer jest przeciążony albo znajduje się daleko od użytkownika. Nie poprawi jednak prędkości pobierania plików ani przepustowości łącza.

Nowoczesna witryna często pobiera skrypty, obrazy, reklamy i czcionki z wielu domen. Dla każdego zewnętrznego zasobu może być potrzebne osobne rozpoznawanie nazwy. Niewielkie opóźnienia potrafią się wtedy sumować – rozproszona infrastruktura i anycast ograniczają ten problem.

Na routerze zmiana DNS obejmuje całą sieć domową. Skorzystają z niej komputer, telefon, telewizor, konsola i urządzenia smart home. W Androidzie funkcja nazywa się Prywatny DNS i od wersji 9 obsługuje szyfrowanie DoT. Windows 11 oraz popularne przeglądarki obsługują także DNS over HTTPS (DoH).

Jak DNS wpływa na bezpieczeństwo i prywatność?

Klasyczne zapytania DNS nie są szyfrowane. Operator łącza może więc zobaczyć, z jakimi domenami się łączysz, nawet jeśli sama strona korzysta z HTTPS. Zewnętrzny resolver przenosi część informacji do innego podmiotu, lecz nie ukrywa zapytań przed operatorem.

DoT i DoH szyfrują komunikację między urządzeniem a resolverem. Operator widzi wtedy połączenie z usługą DNS, ale nie odczytuje nazw domen w przesyłanych zapytaniach. VPN tuneluje zapytania razem z pozostałym ruchem, choć dostawca VPN może uzyskać wgląd w te informacje.

Fałszywa odpowiedź DNS może przekierować użytkownika na stronę podszywającą się pod prawdziwy serwis. Tak działają między innymi DNS spoofing, zatruwanie cache, przejęcie routera i ataki typu MITM. DNSSEC dodaje podpisy cyfrowe, które pozwalają sprawdzić autentyczność odpowiedzi oraz wykryć jej zmianę po drodze.

Resolver może też filtrować domeny znajdujące się na listach złośliwych stron. Taka blokada chroni przed częścią phishingu, ale nie zastępuje aktualnego systemu, ostrożności i weryfikacji adresu. Ten sam mechanizm bywa używany do blokowania reklam, treści dla dorosłych oraz domen objętych ograniczeniami.

Systemem zarządzają na poziomie globalnym ICANN i IANA. W Polsce rejestrem domeny .pl jest NASK, a domeną .eu zarządza EURid. Zmiana resolvera jest legalna, lecz może wyłączyć filtry operatora, w tym kontrolę rodzicielską opartą na DNS.