Alibaba Cloud DNS:Concepts de base

Deux dimensions de classification du DNS

On classe le DNS selon deux dimensions :

Hiérarchie des domaines

Les noms de domaine utilisent une structure arborescente hiérarchique pour l'attribution des noms. Chaque hôte ou routeur connecté à Internet possède un nom hiérarchique unique. Un nom de domaine se compose d'une séquence d'étiquettes séparées par des points.

Exemples

• .com est un domaine de premier niveau ;

• aliyun.com est un domaine de deuxième niveau (également appelé domaine enregistré ou domaine apex) ;

• example.aliyun.com et www.aliyun.com sont des sous-domaines, également appelés domaines de troisième niveau ;

• test.example.aliyun.com est un sous-domaine d'un sous-domaine, également appelé domaine de quatrième niveau.

Hiérarchie des serveurs DNS

Le processus de résolution DNS implique quatre niveaux de serveurs DNS :

Chaque niveau de la hiérarchie des domaines dispose de son propre serveur de noms dédié, le serveur de noms racine se situant au sommet. Chaque couche de serveurs de noms stocke les adresses IP des serveurs de noms de niveau inférieur, permettant ainsi des requêtes étape par étape.

Processus de résolution DNS

Voici le processus de résolution de nom de domaine lorsqu'un utilisateur accède à un site web via le domaine example.com :

1. L'utilisateur saisit example.com dans le navigateur et ce dernier initie une requête auprès du serveur DNS local. Si le serveur DNS local dispose de données de résolution en cache, il renvoie directement l'adresse IP correspondant à example.com au navigateur, et le processus passe à l'étape 9. Si aucune donnée en cache n'est trouvée, le processus se poursuit à l'étape 2.

2. Le serveur DNS local interroge le serveur de noms racine.

3. Le serveur de noms racine renvoie l'adresse du serveur de noms TLD .com au serveur DNS local.

4. Le serveur DNS local envoie une requête pour example.com au serveur de noms TLD .com.

5. Le serveur de noms TLD .com renvoie l'adresse du serveur de noms faisant autorité pour example.com au serveur DNS local.

6. Le serveur DNS local envoie une requête au serveur de noms faisant autorité.

7. Le serveur de noms faisant autorité renvoie l'adresse IP correspondant à example.com au serveur DNS local.

8. Le serveur DNS local renvoie l'adresse IP au navigateur.

9. Le navigateur accède au serveur du site web à l'aide de l'adresse IP.

10. Le serveur du site web renvoie le contenu de la page web.

Requête récursive

Une requête récursive signifie que le serveur DNS récursif effectue l'intégralité du processus de requête pour le compte du client. Chaque étape est gérée par le serveur récursif, qui renvoie le résultat final directement au client. Par exemple :

• Le client soumet une requête au DNS local (serveur DNS récursif) pour demander l'adresse IP de www.example.com.

• Si le serveur récursif ne connaît pas la réponse, il interroge successivement le serveur de noms racine, le serveur TLD et le serveur de noms faisant autorité, en suivant chaque étape jusqu'à obtenir la réponse finale.

• Le client doit uniquement attendre que le serveur récursif fournisse le résultat de résolution final.

Caractéristiques

• Le client envoie une seule requête et attend une seule réponse.

• Le serveur récursif supporte une charge relativement élevée car il doit effectuer l'intégralité du processus de requête.

• Il s'agit de la méthode la plus couramment utilisée entre les clients et les serveurs DNS locaux.

Applications courantes

• Utilisateurs réguliers, PC et navigateurs : Utilisent uniquement des requêtes récursives et ne traitent pas les requêtes itératives.

• Serveurs DNS locaux (tels que le DNS de votre fournisseur d'accès haut débit, les DNS publics comme 8.8.8.8 ou un DNS d'intranet d'entreprise) : Assument généralement le rôle de résolution récursive et initient des requêtes itératives vers les serveurs en amont (racine, TLD et DNS faisant autorité).

• Serveurs DNS publics : Agissent de manière récursive pour les utilisateurs finaux et de manière itérative pour les serveurs DNS en amont.

Requête itérative

Une requête itérative signifie que le serveur DNS fournit au serveur interrogateur la meilleure référence dont il dispose. Si le serveur ne possède pas la réponse lui-même, il indique au serveur interrogateur où poser la question suivante, et ce dernier poursuit le processus. Par exemple :

• Le serveur DNS local interroge le serveur de noms racine pour obtenir l'adresse IP de www.example.com. Le serveur de noms racine ne renvoie pas directement l'adresse IP ; il répond plutôt par une redirection : « Interrogez le serveur TLD ». Le serveur de noms racine effectue une résolution itérative.

• Le serveur DNS local interroge ensuite le serveur TLD, qui répond par une autre redirection : « Interrogez ce serveur de noms faisant autorité ». Le serveur TLD effectue une résolution itérative.

• Ce processus se poursuit étape par étape jusqu'à ce que le serveur faisant autorité soit trouvé et que le résultat final soit renvoyé au serveur DNS local.

Caractéristiques

• Le serveur interrogateur envoie une requête à chaque étape de la chaîne de résolution.

• Chaque serveur supporte une charge relativement faible, car il renvoie uniquement une redirection au lieu d'effectuer la requête complète.

Applications courantes

• Serveurs de noms racine, serveurs TLD et serveurs de noms faisant autorité.

• Serveurs DNS auto-gérés pour les entreprises, les écoles et autres organisations.

• Serveurs DNS publics : Agissent de manière récursive pour les utilisateurs finaux et de manière itérative pour les serveurs DNS en amont.

Enregistrement DNS

Les enregistrements DNS définissent la manière dont un nom de domaine est résolu. Une fois que vous avez ajouté un domaine à Alibaba Cloud DNS, vous devez configurer ses enregistrements DNS pour spécifier la cible du domaine, telle qu'une adresse IPv4, une adresse IPv6, un autre nom de domaine ou l'adresse d'un serveur de messagerie. Lors de l'accès au domaine, le système DNS renvoie l'adresse cible sur la base de ces enregistrements, établissant ainsi la correspondance entre le nom de domaine et sa destination désignée.

Cache DNS

Un cache DNS stocke les données de résolution à proximité du client ayant effectué la requête. Les données DNS peuvent être mises en cache à n'importe quel niveau de la hiérarchie de requêtes. La mise en cache réduit le nombre de requêtes récursives et diminue la latence des requêtes, permettant aux utilisateurs d'obtenir des résultats plus rapidement.

TTL

Le Time to Live (TTL) indique au résolveur DNS local la durée pendant laquelle un résultat de résolution peut être mis en cache. Lorsque le TTL expire, le résolveur supprime l'enregistrement de son cache. Si un utilisateur demande à nouveau le même nom de domaine après l'expiration, le résolveur doit effectuer une nouvelle requête.

Pile double IPv4/IPv6

Une pile IP double, ou pile double, permet à un système d'utiliser simultanément les piles de protocoles IPv4 et IPv6. Les deux piles de protocoles s'exécutent en parallèle.

Attaque par inondation de requêtes DNS

Une attaque par inondation de requêtes DNS est un type d'attaque par déni de service (DoS) dans lequel un attaquant utilise plusieurs machines compromises pour envoyer un volume massif de requêtes de noms de domaine à un serveur DNS cible. Si le nombre de requêtes par seconde dépasse la capacité de traitement du serveur, les requêtes de résolution légitimes peuvent expirer, ce qui affecte la disponibilité du service.

DNSSEC

Les extensions de sécurité du système de noms de domaine (DNSSEC) utilisent des signatures numériques pour garantir l'authenticité et l'intégrité des réponses DNS. Le DNSSEC peut efficacement prévenir les attaques telles que l'usurpation DNS et l'empoisonnement du cache, protégeant ainsi les utilisateurs contre les redirections vers des sites malveillants et renforçant la confiance dans Internet.

Sous-réseau client EDNS

EDNS (Extension Mechanisms for DNS) Client Subnet est un protocole d'extension DNS soumis par Google qui permet à un résolveur DNS récursif de transmettre les informations d'adresse IP du client à un serveur DNS faisant autorité.

Redirection URL

La redirection URL, également appelée transfert URL, est une technique qui utilise des paramètres de serveur spécifiques pour rediriger les requêtes destinées à un nom de domaine vers un autre site web existant.

Terminal d'application

Désigne les appareils terminaux et les services d'application utilisés pour l'accès au réseau, y compris, mais sans s'y limiter, les terminaux mobiles, les appareils IoT et les applications mobiles.

DNS over HTTPS (DoH)

Chiffre le trafic des requêtes DNS. Alibaba Cloud Public DNS fournit la résolution DNS via des connexions HTTP chiffrées par TLS, conformément à la norme RFC 8484.

DNS over TLS (DoT)

Chiffre le trafic des requêtes DNS. Alibaba Cloud Public DNS fournit la résolution DNS via des connexions TCP chiffrées par TLS, conformément à la norme RFC 7858.