Что такое DNS и как он работает?

IPAddress-Lookup.com · June 28, 2025

Каждый раз, когда вы вводите название веб-сайта в браузере, запускается невидимая система, которая определяет, где на самом деле находится этот сайт. Эта система называется системой доменных имен (DNS) и является одним из важнейших элементов инфраструктуры Интернета. Без неё вам пришлось бы запоминать длинные строки цифр для каждого посещаемого сайта вместо удобных имен, таких как example.com. В этом руководстве мы подробно объясним, что такое DNS, проследим реальный процесс поиска от начала до конца, разберём все основные типы записей и покажем, как самостоятельно проверять и устранять неполадки в работе DNS.

Что такое DNS?

DNS — это телефонная книга Интернета. Компьютеры общаются не с помощью понятных людям имен, а с помощью числовых адресов. Когда вы хотите дозвониться до друга, вы набираете не его имя, а номер, но, вероятно, помните имя и позволяете своему списку контактов преобразовать его в цифры. DNS делает то же самое для Интернета: он преобразует доменное имя, которое легко запомнить, например www.example.com, в числовой IP-адрес, который компьютеры фактически используют для маршрутизации трафика, например 93.184.216.34 для IPv4 или более длинную шестнадцатеричную строку для IPv6.

Этот перевод важен, потому что IP-адреса меняются. Веб-сайт может переехать на новый сервер, сменить хостинг-провайдера или распределить свой контент по десяткам центров обработки данных по всему миру. Имена дают нам стабильную, запоминающуюся метку, которая остаётся неизменной, даже когда базовый адрес меняется. DNS — это уровень, который выполняет эту задачу, преобразуя имена в адреса миллиарды раз в секунду по всему миру. Это также распределенная система, а это означает, что ни один компьютер не хранит всю «адресную книгу» целиком. Вместо этого ответственность распределена по обширной иерархии серверов, и именно это делает DNS быстрой, отказоустойчивой и способной масштабироваться на всю планету.

Участники процесса DNS-поиска

Прежде чем проследить путь запроса, полезно познакомиться с участниками процесса. У каждого из них есть своя конкретная роль, и один запрос может задействовать их всех:

• Стуб-резолвер — небольшой программный модуль, встроенный в вашу операционную систему. Когда приложению требуется адрес, стуб-резолвер перенаправляет запрос дальше. Он практически не выполняет самостоятельных вычислений.
• Рекурсивный резолвер — «рабочая лошадка», обычно управляемая вашим интернет-провайдером или общедоступным провайдером, таким как известные сервисы 8.8.8.8 или 1.1.1.1. Он принимает ваш запрос, выполняет всю необходимую работу для поиска окончательного ответа, а затем возвращает его вам.
• Корневые серверы имен — вершина иерархии. Они не знают адресов отдельных веб-сайтов, но знают, где найти серверы, отвечающие за каждый домен верхнего уровня.
• Серверы имен доменов верхнего уровня (TLD) — отвечают за домены верхнего уровня, такие как .com, .org или .net. Они знают, какие авторитетные серверы обслуживают каждый домен, зарегистрированный под ними.
• Авторитетные серверы имен — окончательный источник достоверной информации. Эти серверы хранят фактические записи для конкретного домена и дают окончательный ответ.

Отслеживание реального запроса: разрешение www.example.com

Давайте шаг за шагом проследим за одним запросом. Представьте, что вы вводите www.example.com в браузере и нажимаете Enter. Вот что происходит «за кулисами», если предположить, что пока ничего не кэшировано:

1. Браузер обращается к штамбовому резолверу. Штамбовый резолвер вашей операционной системы получает запрос на www.example.com. Сначала он проверяет свой собственный локальный кэш. Если он недавно выполнял поиск этого имени, он немедленно возвращает ответ, и на этом путь заканчивается.
2. Стуб-резолвер связывается с рекурсивным резолвером. Поскольку в кэше нет ответа, стуб-резолвер перенаправляет запрос на ваш настроенный рекурсивный резолвер.
3. Рекурсивный резолвер запрашивает корневой сервер. Рекурсивный резолвер пока не знает, где находится домен .com, поэтому он обращается к одному из корневых серверов. Корневой сервер не знает адреса www.example.com, но отвечает перенаправлением: «У меня нет этого ответа, но вот серверы, отвечающие за домен .com».
4. Рекурсивный резолвер запрашивает сервер домена верхнего уровня .com. Следуя этой переадресации, резолвер запрашивает сервер домена верхнего уровня .com о домене www.example.com. Сервер домена верхнего уровня отвечает очередной переадресацией: «Я не знаю адреса, но вот авторитетные серверы имен для example.com».
5. Рекурсивный резолвер отправляет запрос авторитетному серверу. Наконец, резолвер обращается к авторитетному серверу имен для example.com. Этот сервер хранит реальные записи и даёт окончательный ответ: «www.example.com находится по адресу 93.184.216.34».
6. Ответ возвращается к вам. Рекурсивный резолвер кэширует этот ответ, передаёт его вашему стэб-резолверу, и ваш браузер устанавливает соединение с этим IP-адресом. Весь процесс обычно занимает десятки миллисекунд.

Рекурсивные и итеративные запросы

Приведенный выше пример иллюстрирует два разных стиля запросов, и понимание их различия помогает развеять многие заблуждения. Когда ваше устройство задает вопрос рекурсивному резолверу, оно ожидает полного окончательного ответа. Это и есть рекурсивный запрос: резолвер берёт на себя ответственность сделать всё необходимое, чтобы вернуть полный результат. Ваше устройство просто ждёт.

Обмен данными между рекурсивным резолвером и корневыми, TLD и авторитетными серверами представляет собой итеративные запросы. Каждый из этих серверов не ищет ответ от вашего имени. Вместо этого они отвечают лучшей информацией, которой располагают, — обычно это ссылка, указывающая на один шаг ближе к месту назначения. Затем рекурсивный резолвер повторяет этот процесс, проходя по иерархии вниз, пока не достигнет авторитетного ответа. Короче говоря: ваше устройство запрашивает рекурсивно, а резолвер работает итеративно.

Кэширование и TTL на каждом уровне

Если бы каждый запрос должен был проходить весь путь до авторитетного сервера, Интернет работал бы мучительно медленно, а корневые серверы не выдержали бы нагрузки. Кэширование предотвращает это. Практически на каждом уровне ответы временно сохраняются, чтобы их можно было повторно использовать. Ваш браузер кэширует, ваша операционная система кэширует, а рекурсивный резолвер кэширует в значительной степени.

Срок хранения записи в кэше определяется её TTL (time to live, срок жизни), измеряемым в секундах и устанавливаемым владельцем домена. Запись с TTL равным 3600 может храниться в кэше в течение одного часа, после чего резолвер должен получить новую копию. Короткие значения TTL позволяют быстро изменять записи, что удобно при миграции серверов, но при этом увеличивают объём запросов. Длинные значения TTL повышают производительность и снижают нагрузку, но приводят к тому, что распространение изменений по всему миру занимает больше времени. Именно поэтому администраторы часто за день до запланированного изменения уменьшают значение TTL записи, а после изменения снова его увеличивают.

Иерархия DNS и корневые серверы

DNS организована в виде перевернутого дерева. На самой вершине находится корень, обозначаемый одной точкой, которая обычно невидима. Ниже корня находятся домены верхнего уровня, такие как .com, .org, а также коды стран, например .uk или .de. Ниже каждого TLD расположены домены второго уровня, которые регистрируют частные лица и организации, например example.com. Ниже них находятся субдомены, такие как www или mail. Чтение доменного имени справа налево позволяет проследить иерархию от общего к частному.

Корневой домен обслуживается системой, известной как «13 корневых серверов». На самом деле это 13 именованных кластеров, обозначенных буквами от A до M, каждый из которых управляется отдельной организацией. За каждым из этих 13 адресов стоят сотни физических серверов, распределенных по всему миру с использованием технологии, называемой anycast, которая направляет ваш запрос на ближайший доступный сервер. Именно так несколько именованных точек входа могут надежно отвечать на запросы со всего мира с низкой задержкой и высокой устойчивостью к сбоям и атакам.

Объяснение типов записей DNS

DNS-зона домена представляет собой набор записей, и каждый тип записи выполняет свою конкретную функцию. Понимание их сути необходимо для любого, кто управляет веб-сайтом или занимается администрированием электронной почты. В таблице ниже приведены наиболее важные типы записей с примерами для каждого из них.

Записи A и AAAA

Это основные элементы, связывающие имена с адресами. Запись A указывает на IPv4-адрес, а запись AAAA — на IPv6-адрес. Домен может иметь обе записи, чтобы клиенты, использующие любой из этих протоколов, могли к нему обратиться. Когда ваш браузер запрашивает «где находится example.com», окончательный ответ обычно предоставляет одна из этих двух записей.

Записи CNAME

Запись CNAME создает псевдоним, перенаправляя одно имя на другое каноническое имя. Обычно она используется для перенаправления www на базовый домен или для перенаправления пользовательского субдомена на адрес хостинг-провайдера. Важное правило заключается в том, что запись CNAME не может сосуществовать с другими записями под тем же именем, поэтому в корне домена обычно используются записи A или AAAA вместо CNAME.

Записи MX и электронной почты

Записи MX сообщают миру, какие серверы принимают почту для вашего домена, при этом номер приоритета определяет порядок, в котором они проверяются. Предпочтение отдается более низким номерам, поэтому сервер с приоритетом 10 проверяется раньше, чем сервер с приоритетом 20. Однако записи MX — это лишь часть истории DNS в контексте электронной почты.

Записи TXT: SPF, DKIM и DMARC

Записи TXT хранят текст в произвольном формате, и в сфере электронной почты на них в значительной степени полагаются три взаимосвязанных механизма аутентификации. SPF содержит список серверов, которым разрешено отправлять почту от имени вашего домена, что помогает получателям отклонять поддельные сообщения. DKIM публикует криптографический открытый ключ, чтобы получатели могли убедиться, что сообщение было подписано вашим доменом и не было изменено при передаче. DMARC объединяет эти два механизма, указывая получателям, как поступать с сообщениями, не прошедшими проверку SPF или DKIM, и куда отправлять отчеты. Вместе они составляют основу современной доставки электронной почты.

Записи NS и SOA

Записи NS делегируют полномочия, указывая серверы, ответственные за зону. Запись SOA находится в верхней части каждой зоны и содержит административные сведения, такие как основной сервер имен, ответственное лицо, серийный номер, который изменяется при редактировании зоны, а также таймеры, регулирующие, как вторичные серверы обновляют свои копии зоны.

Записи CAA и PTR

Запись CAA ограничивает круг центров сертификации, которым разрешено выдавать сертификаты для вашего домена, добавляя уровень защиты от несанкционированных сертификатов. Если вы хотите понять, как эти сертификаты защищают ваш трафик, ознакомьтесь с нашим руководством по SSL-сертификатам. Запись PTR отвечает за обратный DNS, сопоставляя IP-адрес с именем хоста, что часто проверяется почтовыми серверами для оценки легитимности отправителя.

DNS и доставляемость электронной почты

DNS, пожалуй, так же важен для электронной почты, как и для Интернета. Когда почтовый сервер хочет доставить сообщение на ваш домен, он ищет ваши записи MX, чтобы найти правильный адрес назначения. Когда принимающий сервер решает, заслуживает ли входящее сообщение доверия, он проверяет ваши записи SPF, DKIM и DMARC, а также часто проверяет запись PTR сервера-отправителя. Если какая-либо из этих записей отсутствует или настроена неверно, легитимная почта может попадать в папку «Спам» или вообще отклоняться. Правильная настройка записей DNS для электронной почты — одно из самых эффективных действий, которые вы можете предпринять, чтобы ваши сообщения попадали в папку «Входящие», а не исчезали в папке «Спам».

Безопасность DNS

Поскольку DNS играет столь основополагающую роль, он стал мишенью для атак, и для его защиты существует несколько технологий:

• DNSSEC добавляет криптографические подписи к записям DNS, чтобы резолверы могли проверить, что ответ действительно поступил из авторитетного источника и не был подделан. Это защищает целостность данных, но не шифрует их.
• DNS over HTTPS (DoH) и DNS over TLS (DoT) шифруют обмен данными между вашим устройством и рекурсивным резолвером. Традиционно DNS-запросы передавались в виде открытого текста, что позволяло любому участнику сетевого маршрута просматривать и даже изменять их. DoH и DoT устраняют эту уязвимость, шифруя запросы.
• «Отравление кэша» — это классическая атака, при которой злоумышленник обманывает резолвер, заставляя его кэшировать ложный ответ, и перенаправляет жертв на мошеннический сервер. DNSSEC и современные средства защиты резолверов, такие как рандомизация портов источника, значительно затрудняют осуществление этой атаки.

Распространённые проблемы с DNS и их устранение

Когда веб-сайт не загружается, виновником часто оказывается DNS. К числу наиболее частых проблем относятся:

• Задержки распространения. После изменения записи старые кэшированные значения могут сохраняться до истечения их TTL. Именно поэтому изменение может отображаться у вас, но пока не отображаться у других пользователей.
• Опечатки и отсутствующие записи. Неправильно написанное имя хоста или забытая запись A приводят к сбоям, которые легко упустить из виду.
• Несоответствие серверов имен. Если ваш регистратор указывает для домена неверные серверы имен, ни одна из ваших тщательно созданных записей никогда не будет использоваться.
• Конфликтующие записи CNAME. Размещение записи CNAME рядом с другими записями под тем же именем нарушает процесс разрешения.
• Кэширование резолвера. Иногда проблема заключается в устаревшей записи в вашем собственном устройстве или маршрутизаторе, которую можно устранить, очистив кэш.

Как самостоятельно проверить записи DNS

Необязательно быть сетевым инженером, чтобы просматривать записи DNS. Утилиты командной строки, такие как dig и nslookup, доступные в большинстве систем, позволяют напрямую запрашивать записи любого типа. Например, запрос записи A для домена возвращает его IPv4-адрес, а запрос записей MX — его почтовые серверы. Если вы не предпочитаете работать в командной строке, онлайн-инструмент для поиска DNS позволяет запрашивать записи любого домена прямо из браузера без установки какого-либо программного обеспечения, что упрощает проверку того, распространилось ли недавнее изменение, или диагностику ошибок в настройках.

Привычка проверять записи DNS помогает разобраться во всей системе. Как только вы сможете увидеть записи A, MX и TXT для своего собственного домена, абстрактная «телефонная книга» превратится в конкретный и понятный набор записей, которым вы управляете. После этого диагностика медленной работы сайта, отклоненного письма или предупреждения о сертификате превращается в простое чтение записей, а не в догадки.

Часто задаваемые вопросы

Что означает аббревиатура DNS?

DNS — это аббревиатура от Domain Name System (система доменных имен). Это распределенная система, которая преобразует понятные для человека доменные имена в числовые IP-адреса, которые компьютеры используют для взаимодействия друг с другом.

Почему DNS называют «телефонной книгой Интернета»?

Точно так же, как телефонная книга позволяет найти номер телефона человека по его имени, DNS позволяет вашему компьютеру найти IP-адрес веб-сайта по его доменному имени. Вы запоминаете простое имя, а DNS занимается преобразованием его в число, которое действительно нужно машинам.

Сколько времени требуется, чтобы изменения в DNS вступили в силу?

Это зависит от TTL записи и от того, насколько активно резолверы на пути к сайту кэшировали её. Изменения могут появиться в течение нескольких минут, если TTL короткий, но для полного распространения по всему миру может потребоваться от 24 до 48 часов, если по-прежнему используются старые кэшированные значения.

В чём разница между рекурсивным резолвером и авторитетным сервером?

Рекурсивный резолвер выполняет основную работу по поиску ответа, отправляя запросы на другие серверы от вашего имени и кэшируя результат. Авторитетный сервер — это окончательный источник, который фактически хранит записи домена и предоставляет окончательный ответ.

Зашифрован ли DNS?

Традиционный DNS не зашифрован, то есть запросы передаются в виде открытого текста. Более новые стандарты, такие как DNS over HTTPS и DNS over TLS, шифруют трафик между вашим устройством и резолвером, а DNSSEC добавляет подписи, которые подтверждают подлинность ответов.

Как проверить записи DNS для домена?

Вы можете использовать инструменты командной строки, такие как dig или nslookup, либо браузерный сервис поиска DNS. Они позволяют запрашивать записи определённых типов, например A, AAAA, MX и TXT, чтобы вы могли проверить настройки или устранить неполадки.