DNS 1983: jak jeden pomysł okiełznał chaos w sieci

Jeden plik na cały internet

W latach 70. i na początku 80. internet, a właściwie jego poprzednik ARPANET, opierał się na zaskakująco prostym rozwiązaniu. Każdy komputer podłączony do sieci musiał znać adresy wszystkich pozostałych maszyn, a te były przechowywane w jednym, centralnym pliku o nazwie HOSTS.TXT.

Plik ten prowadziło Stanford Research Institute. Administratorzy sieci co jakiś czas pobierali jego najnowszą wersję przez protokół FTP i zapisywali lokalnie na swoich maszynach. Dopóki do sieci podłączonych było kilkadziesiąt czy kilkaset komputerów, system działał znośnie.

Problem w tym, że internet rósł w tempie, którego nikt nie przewidział. Każda nowa maszyna, każda zmiana adresu, każda literówka wymagały aktualizacji jednego, centralnego dokumentu. Plik robił się coraz większy, jego dystrybucja obciążała łącza, a ryzyko konfliktów nazw rosło z każdym miesiącem. Sieć zbliżała się do ściany.

Paul Mockapetris i pomysł na hierarchię

W 1983 roku informatyk Paul Mockapetris, pracujący w University of Southern California, zaproponował rozwiązanie opisane w dokumentach RFC 882 i RFC 883. Zamiast jednego, płaskiego pliku ze wszystkimi nazwami, zaproponował system rozproszony i hierarchiczny - Domain Name System, w skrócie DNS.

Pomysł był genialny w swojej prostocie. Zamiast trzymać całą wiedzę o sieci w jednym miejscu, podzielono ją na strefy odpowiedzialności. Powstała hierarchia domen najwyższego poziomu, takich jak .com, .org czy .edu, a każda organizacja mogła samodzielnie zarządzać swoim fragmentem przestrzeni nazw. Nikt już nie musiał aktualizować jednego globalnego pliku - wystarczyło zapytać właściwy serwer o właściwą informację.

Pierwsza domena zarejestrowana w tym nowym systemie, symbolics.com, powstała w marcu 1985 roku. Dziś, ponad czterdzieści lat później, wciąż korzystamy z tej samej podstawowej architektury, choć skala jest nieporównywalna - DNS obsługuje dziś miliardy zapytań każdej sekundy.

Jak to działa dziś - od zapytania do adresu IP

Gdy dziś wpisujesz adres strony w przeglądarce, w tle rozgrywa się cała seria zapytań, która trwa zwykle ułamek sekundy. Warto znać podstawowe elementy tego systemu, bo prędzej czy później każda firma się z nimi zetknie:

• Serwery root - trzynaście grup serwerów na świecie, które wiedzą, gdzie szukać informacji o domenach najwyższego poziomu
• Rekord A/AAAA - łączy nazwę domeny z adresem IPv4 lub IPv6 serwera
• Rekord MX - wskazuje, który serwer obsługuje pocztę e-mail dla danej domeny
• Rekord CNAME - tworzy alias jednej nazwy domenowej wskazujący na inną
• Rekord TXT - przechowuje dodatkowe informacje, dziś wykorzystywany między innymi do weryfikacji SPF i DKIM

Cały ten mechanizm działa niewidocznie dla użytkownika, ale dla firmy oznacza realną odpowiedzialność - błędnie skonfigurowany rekord potrafi wyłączyć pocztę firmową albo stronę internetową na wiele godzin.

Gdy DNS zawodzi - najgłośniejsze awarie

DNS bywa nazywany kręgosłupem internetu, a kręgosłup, gdy się złamie, potrafi sparaliżować całe ciało. W październiku 2016 roku firma Dyn, dostarczająca usługi DNS dla takich gigantów jak Twitter, Netflix czy Spotify, padła ofiarą ataku DDoS przeprowadzonego przez botnet Mirai zbudowany z zainfekowanych kamer i routerów domowych. Efekt? Połowa wschodniego wybrzeża USA na kilka godzin straciła dostęp do popularnych serwisów.

Jeszcze bardziej spektakularny przypadek miał miejsce w październiku 2021 roku, gdy błędna aktualizacja konfiguracji BGP i DNS wewnątrz infrastruktury Facebooka sprawiła, że Facebook, Instagram i WhatsApp zniknęły z internetu na niemal sześć godzin. Co ciekawe, awaria była tak głęboka, że pracownicy firmy mieli problem, by fizycznie dostać się do budynków, bo nawet karty dostępu opierały się na wewnętrznych systemach uzależnionych od tej samej infrastruktury.

Te historie pokazują, że system stworzony niemal jako prowizoryczna łatka w 1983 roku dźwiga dziś ciężar całej cyfrowej gospodarki - i gdy zawodzi, konsekwencje są natychmiastowe i globalne.

Co ta historia oznacza dla małej i średniej firmy

DNS to jeden z tych elementów infrastruktury IT, o których pamięta się dopiero wtedy, gdy przestają działać. Dla firmy oznacza to konkretne ryzyka - od literówki w rekordzie MX psującej pocztę, przez wygasającą domenę, po ataki wykorzystujące DNS do przekierowywania użytkowników na fałszywe strony czy do wycieku danych metodą tunelowania DNS.

Dobra wiadomość jest taka, że większości tych problemów da się zapobiec dzięki właściwej konfiguracji, monitoringowi i filtrowaniu DNS na poziomie sieci firmowej. To jeden z tych obszarów, gdzie niewielka inwestycja w porządek potrafi zaoszczędzić wiele godzin przestoju.