Datorer ansluter till IP-adresser; människor kommer ihåg namn. Domain Name System översätter mellan dem – miljarder gånger i sekunden, mest ur cache, på några millisekunder.
Aktörerna
- Stubbresolver: den lilla DNS-klienten i ditt operativsystem eller din webbläsare.
- Rekursiv resolver: en server som gör jobbet att hitta svaren – driven av din internetleverantör eller av en offentlig tjänst som 1.1.1.1, 8.8.8.8 eller 9.9.9.9.
- Rotservrar: vet var varje toppdomän finns. Sverige har en särskild koppling hit: rotservern i.root-servers.net drivs av Netnod i Stockholm.
- Toppdomänservrar: för
.se,.comoch så vidare. Servrarna för.sedrivs av Internetstiftelsen och vet vilka namnservrar som ansvarar för varje .se-domän. - Auktoritativa namnservrar: har domänens faktiska poster.
Ett uppslag, steg för steg
När du öppnar www.example.se och inget finns i cache:
- Enheten frågar sin rekursiva resolver efter A-posten (IPv4) och AAAA-posten (IPv6) för
www.example.se. - Resolvern frågar en rotserver, som svarar med servrarna för
.se. - Den frågar en .se-server, som svarar med namnservrarna för
example.se(dess NS-poster). - Den frågar en av namnservrarna för example.se, som returnerar adressen.
- Resolvern lämnar svaret till dig – och sparar det i cache.
Cache och TTL
Varje post har en TTL (time to live) i sekunder. Resolvrar behåller ett svar så länge innan de frågar igen. Det är därför DNS är snabbt – och därför ändringar tar tid: en post med en timmes TTL kan levereras ur cache upp till en timme efter att du ändrat den. Sänk TTL:en före en planerad flytt. Med DNS-spridning kan du se vad flera offentliga resolvrar har i cache just nu.
Mer än adresser
DNS talar också om:
- vart e-post ska levereras (MX),
- vilka namn som är alias (CNAME),
- vilka servrar som får skicka e-post och vilka certifikatutfärdare som får utfärda certifikat (TXT för SPF/DMARC, CAA),
- vilka servrar som är auktoritativa (NS, SOA),
- och omvänt vilket namn som hör till en IP-adress (PTR).
Varje posttyp har en kort guide: A, AAAA, CNAME, MX, TXT, NS.
Säkerhet: DNSSEC och krypterad DNS
DNSSEC låter resolvrar kontrollera att svaren verkligen kommer från domänens ägare, med hjälp av signaturer som publiceras i DNS. .se var för övrigt den första toppdomänen i världen som signerades med DNSSEC, 2005. DNS-over-HTTPS och DNS-over-TLS krypterar förbindelsen mellan dig och resolvern så att andra i nätverket inte kan läsa eller ändra dina frågor. De löser olika problem och fungerar bra tillsammans.
Se det live
DNS-uppslaget frågar efter alla vanliga posttyper live och visar TTL och DNSSEC-status – prova med internetstiftelsen.se.