Что такое DNS-хостинг и зачем он нужен? — Личный кабинет HostiMan

Что такое dns

DNS или Система доменных имён служит для сопоставления буквенных имен с числовыми адресами (IP). Это напоминает список контактов, который есть в любом смартфоне. Когда нам не нужно помнить номера друзей, достаточно вызвать условного Васю Петрова, чтобы дозвониться куда мы хотим.

Что такое dns-зоны?

Одному домену не обязательно соответствует только один IP-адрес. Под одним именем может идти, например, сайт и почтовый сервер. Кроме того, у сайта могут быть поддомены с другими IP.

Все данные о взаимосвязи сайта, поддоменов, почты и тому подобного записывается в специальный файл, расположенный на DNS-сервере. То, что записано в этом файле – это DNS-зона. Записи, которые там могут быть:

А — адрес ресурса, привязанного к имени домена.MX — адрес почтового сервера.CNAME — тип записи, применяемый для подключения поддомена.NS — адрес DNS-сервера, который в ответе за содержимое прочих ресурсных записей.TXT — любые текстовые данные о доменном имени.

Причина: сделать что-то странное и уникальное

Вы можете написать DNS-сервер, способный делать всё, что вам нужно, он не обязан просто возвращать статичный набор записей.

Вот несколько примеров:

Что такое dns-хостинг и зачем он нужен? — личный кабинет hostiman

Что такое dns-серверы и зачем они нужны — ru-center

Dns сервера

DNS сервера — это адресная книга, на них хранится информация, на каком физическом сервере (компьютере) смотреть определенное доменное имя. Администратор домена у регистратора прописывает записи следующего вида (упрощенно).

Dns-хостинг

DNS-хостинг – это услуга, которая позволяет управлять содержимым файлов зон DNS, а также настраивать серверы с помощью ресурсных записей. Данным видом хостинга пользуются для качественного функционирования сайтов.

Где находятся dns-серверы

Прежде всего, нужно понимать, что когда мы говорим о, например, 13 корневых серверах, то физически это вовсе не 13 компьютеров. Для повышения отказоустойчивости по всему миру располагаются сотни реплик или зеркал основных серверов. Этим «копиям» присваиваются те же IP-адреса, что и у главного устройства.

Физически серверы располагаются в Европе, Северной Америке, Африке, Австралии – по всему миру. Чаще всего они базируются в крупных дата-центрах, на площадках хостинг-провайдеров или крупных телекоммуникационных операторов. Плотность концентрации серверов DNS на определенной территории зависит от плотности пользователей интернета на ней и объема поступающих запросов.

Где располагаются главные dns-серверы?

Корневые DNS-серверами управляют различные операторы. Ранее все они располагались в Северной Америке, но потом начали появляться и в других странах. Как уже говорилось выше, всего их 13, но есть резервные копии, поэтому общее число корневых серверов составляет 123.

40 из них располагаются в Северной Америке, 35 находятся в Европе, 6 размещены в Южной Америке и 3 в Африке.  В России есть 5 серверов в следующих городах: Москве, Санкт-Петербурге, Новосибирске, Ростове-на-Дону и Екатеринбурге.

Защита dns-серверов от атак

Атаки на DNS-серверы можно разделить на 2 типа:

• DDoS-атаки, когда на сервер направляется шквал поддельных запросов, и в результате перегрузки он перестает отвечать даже на реальные запросы пользователей;
• использование уязвимостей системы. Запись в системе доменного имени подменяется на ложную, пользователь попадает на фишинговую страницу и может стать жертвой кражи личных данных.

Владельцы DNS-серверов постоянно улучшают защиту от хакерских атак и закрывают найденные уязвимости. Для защиты используются:

• криптографический ключ для ответов на запросы (DNSSEC);
• проверка пакетов на предмет фальсификации трафика (uRPF);
• проверка пакетов с помощью отслеживания DHCP-трафика ( IP Source Guard);
• проверка соответствия запроса и ответа (dns-validator) и т. д.

Какие виды dns-серверов существуют

Их можно поделить на несколько групп, исходя из выполняемых ими функций. Иногда один и тот же сервер может иметь сразу несколько типов.

• Авторитетный — сервер, который отвечает за ту или иную зону. Здесь можно выделить ещё два подтипа:

• Первичный (альтернативное название «Мастер», BIND), который может вносить изменения в свою зону. В большинстве случаев одной зоне соответствует один первичный сервер. Однако для масштабных продуктов мастер-серверов может быть несколько.
• Вторичный (Слейв от английского slave), который не имеет права вносить изменения в зону и получает сообщения о внесённых изменениях от мастер-сервера. В одной зоне может быть сколько угодно вторичных серверов.

• Кэширующий —занимается обслуживанием запросов клиентов. К нему приходит рекурсивный запрос, и он выполняет его через нерекурсивные, направленные к авторитативным серверам. Либо он может передавать рекурсивный запрос вышерасположенному DNS-серверу.
• Перенаправляющий — занимается перенаправлением полученных рекурсивных запросов в сторону кэширующего сервера. Необходим для снижения нагрузки на вышестоящий кэширующий DNS-сервер.
• Корневой — также относится к авторитативным, но отвечает за корневую зону. Всего в мире существует 13, корневых серверов, а их доменные имена расположены в зоне root-servers.net. Названия: a.root-servers.net, b.root-servers.net, и т.д.
• Регистрирующий – принимает динамические обновления от юзеров. Обычно он функционирует совместно с DHCP-сервером.

Можно создать два типа dns-серверов

Существует два основных типа DNS-серверов, которые вы можете создать:

1. Если у вас есть домен, то вы можете создать авторитетный сервер имён для этого домена.
2. Если у вас есть компьютер (или компания с кучей компьютеров), то вы можете создать резолвер, резолвящий DNS для этих компьютеров.

На этом всё

Мне показалось важным исследование этих вопросов, потому что DNS — это сложная и запутанная система. Думаю, многие люди с трудом могут найти мотивацию к изучению таких сложных тем и они не понимают, почему вся эта сложность полезна.

Причина: безопасность

Существует опасность того, что атакующий получить доступ к изменению DNS через слишком желающего помочь сотрудника отдела поддержки клиентов. Или что вам заблокируют ваш DNS (например, из-за его отсутствия). Собственный сервер может быть проще контролировать и проверять его содержимое.

Причина: блокировка вредоносных сайтов

Если вы создали собственный резолвер, то вы можете отказаться резолвить DNS-запросы (просто не возвращая никаких результатов) для доменов, которые вы считаете «плохими».

Вот несколько примеров резолверов, которые вы можете создать сами (или просто использовать):

• Pi-Hole блокирует рекламодателей.
• Quad9 блокирует домены, занимающиеся вредоносными программами/фишингом/шпионским ПО. Похоже, у Cloudflare есть похожий сервис.
• Думаю, существует также ПО для корпоративной безопасности, блокирующее DNS-запросы доменов, хостящих вредоносные программы.
• DNS — это не статичная база данных. Он очень динамичен, и ответы иногда могут в реальном времени зависеть от IP-адреса, с которого пришёл запрос, текущей нагрузки на контент серверов и т. д. Всё это сложно делать, в реальном времени, если вы не делегируете обслуживание таких записей сущности, принимающей подобные решения.
• Делегирование управления DNS сильно упрощает управление доступом. Всё ниже среза зоны (zone cut) контролируется человеком, управляющим делегированным сервером, поэтому ответственность за имя хоста подразумевается в делегировании DNS.

Причина: вам нравится управлять bind/nsd

Многие люди упоминали такую причину: «я привык писать файлы зон и управлять

bind

или

nsd

, мне проще делать именно так».

Если вам нравится интерфейс bind/nsd, но вы не хотите управлять своим собственным сервером, то пара человек говорила мне, что можно пользоваться преимуществами bind, создав «скрытый первичный» сервер, хранящий записи, но обслуживать все DNS-запросы со «вторичного» сервера. Вот примеры страниц о настройке вторичного DNS с NS1, cloudflare и Dyn.

Не знаю точно, какой авторитетный DNS-сервер является лучшим, я пользовалась nsd только на работе.

Причина: вы можете устранять проблемы

Существуют очевидные плюсы и минусы в возможности решать проблемы самостоятельно в случае их появления (плюс: вы можете устранить проблему, минус: вам придётся устранять проблему).

Причина: географический dns

Вам может потребоваться возвращать другие IP-адреса для вашего домена в зависимости от того, где находится клиент, чтобы передать ближайший к нему сервер.

Такую услугу предлагают многие сервисы авторитетных серверов имён, поэтому чтобы делать это, вам не нужно писать собственный.

Причина: для экономии денег

Авторитетные серверы имён обычно взымают оплату за миллион DNS-запросов. Например, при беглом ознакомлении можно понять, что Route 53 взымает примерно 0,50 доллара за миллион запросов, а

взымает примерно 8 долларов за миллион запросов.

Я слабо представляю, сколько запросов авторитетный DNS-сервер большого сайта обычно должен резолвить (какие сайты получают 1 миллиард DNS-запросов на свой авторитетный DNS-сервер? Вероятно, многие, но у меня нет опыта в этом.). Однако некоторые люди упомянули, что причина может быть в стоимости.

Причина: избежать mitm своих dns-запросов

Один человек

Причина: избежать атак типа «отказ в обслуживании», нацеленных на кого-то другого

Многие авторитетные DNS-серверы являются общими. Это значит, что если кто-то нападёт на DNS-сервер

Причина: избежать злонамеренных резолверов

У некоторых ISP есть DNS-резолверы, делающие плохие вещи, например, резолвящие несуществующие домены в контролируемые ими IP, которые показывают рекламу или странную поисковую страницу, которую они могут контролировать.

Чтобы избежать этого, можно использовать или контролируемый вами резолвер, или другой резолвер, которому вы доверяете.

Причина: интерфейс пользователя

Вам может не нравиться интерфейс пользователя (или API, или отсутствие API) используемого вами DNS-сервиса. На самом деле эта причина связана с причиной «вам нравится управлять BIND» — возможно, вы любите интерфейс файлов зон!

Причина: конфиденциальность

Если кто-то может видеть все ваши операции DNS-поиска, то у него будет полный список доменов, которые вы (или кто-то из вашей организации) посещаете! Возможно, вы захотите сохранить их конфиденциальность.

Причина: можно использовать новые типы записей

Некоторые новые типы записей DNS поддерживаются не всеми устройствами DNS, но если вы создадите собственное, то сможете поддерживать любые нужные вам типы записей.

Причина: можно поменять регистратора

Если вы используете отдельный авторитетный сервер имён для своего домена вместо сервера имён регистратора, то при необходимости перехода к другому регистратору для получения резервной копии DNS достаточно будет настроить в своём авторитетном DNS-сервере нужное значение. Вам не нужно будет выполнять миграцию всех записей DNS, а это очень сложная задача!

Для этого необязательно создавать собственный сервер имён.

Причина: получить динамическое проксирование в nginx

Вот отличная история из

Я написал DNS-сервер в виде приложения, а затем сделал его резолвером для nginx, чтобы можно было получить динамическое проксирование бэкенда без необходимости запуска lua в nginx. Nginx отправляет DNS-запрос приложению, приложение запрашивает redis и отвечает соответствующим образом. Для моих целей такое решение сработало очень неплохо.

Причина: резолвинг внутренних доменов

Возможно, у вас есть внутренняя сеть с доменами (например,

Причина: хранение всей конфигурации в одном месте

Один человек сказал, что ему нравится хранить всю его конфигурацию (записи DNS, let’s encrypt, nginx и т. д.) в одном месте на одном сервере.

Причины для создания авторитетного сервера имён

Для решения некоторых из перечисленных ниже задач вам необязательно создавать собственный авторитетный сервер имён, вы просто можете выбрать авторитетный сервер имён, имеющий нужные вам функции.

Надо сказать, что есть много причин не создавать собственный авторитетный сервер имён — у меня нет своего сервера и я не пытаюсь вас убедить, что он вам нужен. Обслуживание сервера требует времени, ваш сервис может быть не таким надёжным, и т. п.

Странная причина: использовать dns в качестве vpn

Похоже,

является авторитетным DNS-сервером, позволяющим направлять трафик по туннелю через DNS, если вы находитесь в сети, которая позволяет связываться с внешним миром только как VPN.

Хостинг

Это компьютер, настроенный таким образом, чтобы он мог на запросы отдавать страницы вашего сайта. Или хранить и обрабатывать данные информационной системы.

Когда пользователь ввел имя сайта в адресную строку его браузер обратился к ближайшему DNS серверу и получил от него IP-адрес, где искать сайт или информационную систему. Далее обратился по этому адресу с запросом — отдай мне информацию по данной ссылке. Сервер получает запрос, формирует и отдает информацию.

Для разных информационных систем и сайтов в зависимости от размера и набора технологий требуется разное количество ресурсов. Хостинг тоже может быть разного типа, от просто места на сервере до полноценного физического сервера, стоящего в серверной стойке в Data-центре (большие помещения или здания специально для серверов со специальной инфраструктурой).

Конечно, роль сервера может выполнять и домашний компьютер для небольшого сайта. В этом случае у вашего поставщика связи запрашивается Статический IP-адрес и в DNS вносится запись, что искать сайт необходимо по этому адресу. И тогда данный вариант размещения является условно бесплатным.

Но для современных систем необходима соответствующая операционная система, как правило Linux, с установленным набором пакетом для функционирования данной информационной системы и соответствующими настройками. Это к тому, что не сделать домашний компьютер нормальным сервером, на котором днем играть в игрушки, а ночью пусть приходят посетители на сайт.

Чем хороша децентрализация dns?

Одна из причин — это

масштабируемость

: децентрализованная структура DNS упрощает его масштабирование и делает его более устойчивым к сбоям. Мне кажется по-настоящему удивительным то, что DNS продолжает масштабироваться, несмотря на то, что ему почти 40 лет. Это очень важно, но наш пост не об этом.

Вместо этого я хотела бы поговорить о следующем: децентрализованность означает, что мы можем управлять тем, как работает DNS. Мы можем добавить новые серверы в огромный запутанный клубок DNS-серверов! Серверы, которыми можно управлять!