Jason: W tej lekcji porozmawiamy
o systemie nazw domen, czyli DNS.
Protokół DNS jest używany, aby pomóc klientom sieci znaleźć stronę
internetową przy użyciu czytelnych dla człowieka
nazw hostów zamiast numerycznych adresów IP.
Na przykład, gdybym polecił ci odwiedzić moją stronę internetową, mógłbym po prostu
powiedzieć: "Hej, przejdź do diontraining. com", co jest o wiele łatwiejsze do zapamiętania niż konieczność
pamiętania, że jest to 66.
123. 45. 237
lub jakikolwiek inny adres IP mojego serwera WWW.
W końcu wypowiadanie tych wszystkich liczb w ramach reklamy
telewizyjnej nie jest tak chwytliwe ani zapadające w pamięć, jak
powiedzenie konsumentowi, aby odwiedził
diontraining. com, czy coca-cola. com lub microsoft.
com, prawda?
Skąd więc komputer wie, jak znaleźć
adres IP serwera WWW na podstawie
tych różnych nazw domen?
Cóż, taki jest cel DNS, systemu nazw domen.
Sposób działania DNS polega na tym, że komputer użytkownika otrzymuje polecenie przejścia do
miejsca takiego jak diontraining. com, więc dociera do
serwera DNS i mówi: "Hej, kim jest
diontraining. com? Serwer DNS odpowie
"Oh, znam diontraining.
com.
Jego adres IP to 66 kropka coś, kropka
coś, kropka coś. Następnie klient zostaje przekierowany
do serwera WWW przy użyciu swojego routera i sposobu
połączenia, ponieważ zna teraz właściwy adres
IP do użycia jako miejsce docelowe,
a wszystko to dzieje się w tle dla użytkowników
i komputera, bez konieczności proszenia
o to, ponieważ DNS jest tak wbudowaną częścią naszych sieci i systemów.
Teraz większość z nas, jako użytkowników domowych, nie będzie uruchamiać
własnych serwerów DNS, ale zamiast tego polegamy na
naszych dostawcach usług internetowych, którzy robią to za nas.
Ale jeśli prowadzisz własne strony internetowe
lub naszą dużą sieć korporacyjną, możesz mieć również
własny serwer DNS w swojej sieci i będziesz odpowiedzialny
za skonfigurowanie własnych
rekordów DNS, które dyktują, które serwery
znajdują się pod jakimi adresami IP i do jakich celów.
Pozwala to na uruchomienie własnego rozpoznawania
nazw domen i hostów, które konwertuje te nazwy domen
na adresy IP.
Jeśli chcesz myśleć o tym w ten
sposób, jest to podobne do posiadania listy kontaktów w telefonie.
Ile numerów telefonów zapamiętałeś w dzisiejszych czasach?
Prawdopodobnie nie jest ich dużo, prawda?
Ponieważ normalnie wyciągasz smartfona, przewijasz
do imienia danej osoby i uderzasz palcem w jej imię,
a następnie telefon wybiera jej numer.
Na przykład, jeśli chcę zadzwonić do mojej żony, przewijam do jej imienia,
naciskam zdjęcie jej twarzy na moim telefonie,
a następnie natychmiast mój telefon wybiera jej numer.
Nie muszę zapamiętywać wszystkich 10 cyfr jej numeru telefonu,
ponieważ mój telefon robi to za mnie.
Dzieje się tak dlatego, że jako
ludzie trudniej zapamiętujemy numery niż imiona, więc dokonujemy
konwersji twarzy lub imienia na numer, korzystając z naszej
listy kontaktów.
To samo dotyczy komputerów, z wyjątkiem
tego, że komputery lubią liczby o wiele
bardziej niż nazwy, więc chcemy przekonwertować nazwy
domen, które są dla nas łatwiejsze, na adresy IP, które są łatwiejsze
dla komputerów do routingu, i to wszystko, co naprawdę
robi dla nas DNS.
Konwertuje nazwy na liczby i liczby na nazwy.
Jedną z koncepcji DNS, o której
musimy porozmawiać, jest
tak zwana w pełni kwalifikowana nazwa domeny (FQDN).
Dzieje się tak, gdy nazwa domeny znajduje się pod dostawcą najwyższego poziomu.
Na przykład najpopularniejszym dostawcą najwyższego poziomu jest . com, ale mamy też takie rzeczy
jak . młyn, . edu, . org, . netto.
Posłużmy się przykładem Dion Training.
W Dion Training mamy wiele różnych serwerów.
Jednym z naszych serwerów jest nasz serwer WWW,
który znajduje się pod adresem www. diontraining. com.
Domena najwyższego poziomu to . com.
Nazwa domeny, której używam to Dion Training.
Aby być w pełni kwalifikowanym, muszę dodać WWW przed nim.
To sprawia, że www. diontraining. com.
Teraz, jeśli chcesz przejść do mojego
serwera internetowego, to właśnie to wpiszesz
w przeglądarce, www. diontraining. com, a teraz zostaniesz przekierowany
na mój serwer internetowy, ponieważ DNS wie, jak powinien obrócić adres
IP mojego serwera internetowego przy użyciu tej
w pełni kwalifikowanej nazwy domeny.
Teraz, jeśli zamiast tego chcesz przejść do mojego serwera plików,
będziesz musiał wpisać ftp. diontraining. com, ponieważ jest
to serwer, który tam uruchamiam.
Jeśli chcesz przejść do mojego serwera pocztowego,
możesz wpisać mail. diontraining. com.
Wszystkie trzy są przykładami
w pełni kwalifikowanych nazw domen lub FQDN.
Zasadniczo istnieje usługa, kropka, nazwa domeny,
kropka i domena najwyższego poziomu, a to działa w ten sam
sposób bez względu na to, na
którą domenę patrzysz w Internecie.
Teraz DNS zostanie skonfigurowany jako hierarchia.
Dzieje się to na pięciu różnych poziomach.
Mamy poziom trasy, domenę najwyższego poziomu,
domeny drugiego poziomu, subdomeny i hosta.
Poziom trasy jest najwyższym poziomem
w drzewie hierarchii DNS, a serwer
nazw trasy będzie odpowiadał na żądania
w strefie trasy.
Serwery te zawierają globalną listę wszystkich
domen najwyższego poziomu, np. com,. net, . org, . młyn i inne.
Drugim poziomem w dół będą domeny najwyższego poziomu.
Są one podzielone na dwie kategorie, hierarchie
organizacyjne, takie jak . com, . net, . org i inne, a następnie
hierarchię geograficzną, taką jak . uk dla Wielkiej Brytanii, . fr dla Francji. dla Włoch i innych podobnych krajów.
Trzeci poziom w dół znany jest jako domeny drugiego poziomu.
Domeny te znajdują się bezpośrednio pod domeną najwyższego poziomu.
Na przykład, moja domena Dion Training
jest domeną drugiego poziomu pod domeną . com.
The . com znajduje się pod domeną trasy.
Jest to sposób, w jaki te rzeczy rosną razem
jako część hierarchii.
Czwarty poziom w dół jest znany jako subdomena,
więc gdybym chciał utworzyć nowy
serwer pod moją domeną drugiego poziomu diontraining. com, mogę to zrobić za pomocą
subdomeny.
W moim przypadku mam wiele różnych
subdomen do różnych celów.
Moja główna strona jest hostowana w subdomenie
www, więc wpisujesz www. diontraining. com, która prowadzi
do mojego serwera internetowego, ale mam też jeden o nazwie
support.
Teraz subdomena wsparcia znajduje
się pod adresem wsparcia. diontraining. com.
Mam jeszcze jeden dla poczty, poczty. diontraining. com.
Są to różne subdomeny.
Piąty i ostatni poziom to poziom hosta.
Jest to najniższy i najbardziej szczegółowy
poziom w hierarchii DNS i odnosi się do konkretnej maszyny
lub serwera w sieci.
Kiedy jednak myślimy o DNS, większość
z nas myśli o czymś takim jak w pełni kwalifikowana
nazwa domeny, coś w rodzaju
www. diontraining. com, która zawiera subdomenę, domenę
drugiego poziomu i domenę najwyższego
poziomu.
Teraz, jeśli chciałbym pójść o krok dalej, mogę spojrzeć
na to z perspektywy adresu URL, który jest
znany jako jednolity lokalizator zasobów.
Ponownie, weźmy jako przykład
mój serwer WWW, www. diontraining. com.
To moja w pełni kwalifikowana nazwa domeny, ale
nie mówi, jak uzyskać do niej dostęp.
Czy chcesz to zrobić bezpiecznie czy niepewnie?
Cóż, będziesz musiał to stwierdzić, wykonując adres URL.
Cóż, jeśli chcesz podać mi swoją nazwę użytkownika
i hasło, powinieneś zrobić to bezpiecznie.
Należy więc dodać HTTPS://
przed www. diontraining. com, który staje się adresem
URL, jednolitym lokalizatorem zasobów, ponieważ mówi, jak uzyskać dostęp
do diontraining. com.
Dlatego właśnie mamy ten HTTPS na początku.
Jest to bezpieczny protokół transferu
hipertekstowego i jest to metoda dostępu do niego.
Teraz, jeśli chcesz uzyskać dostęp do mojej witryny i zrobić to w sposób
niezabezpieczony, możesz to zrobić, dodając HTTP://
na początku adresu internetowego.
Teraz, jeśli chcesz połączyć
się za pomocą FTP, użyj FTP://FTP. diontraining. com jako adres URL, a więc istnieje wiele różnych sposobów, aby to
zrobić, gdy powiesz systemowi,
co ma zrobić, a to utworzy
adres URL i w pełni kwalifikowaną
nazwę domeny.
Następnie musimy omówić różne typy
rekordów DNS, które istnieją na serwerze DNS.
Wewnątrz serwera DNS będziesz tworzyć
różne rekordy, które przechowują różne typy informacji w zależności
od przypadku użycia.
Są one znane jako rekordy A, rekordy AAAA, rekordy CNAME, rekordy
MX, rekordy TXT i rekordy NS.
Rzućmy okiem na każdy z tych różnych
typów rekordów.
Po pierwsze, mamy rekord
A, który oznacza rekord adresu.
Rekord A służy do powiązania
nazwy hosta z adresem IPv4.
Na przykład, istnieje rekord A dla www. diontraining. com i łączy go z adresem
IP 45. 79. 184. 180.
Oprócz tego można również ustawić rekord A
dla hosta @, co oznacza rekord
dla domeny trasy.
W przykładzie Dion Training, nasz rekord
@ oznacza, że diontraining. com, która jest trasą naszej domeny, będzie
wyświetlana pod określonym
adresem IP.
W ten sposób nasi użytkownicy mogą znaleźć naszą witrynę,
przechodząc do subdomeny www. diontraining. com lub po prostu wchodząc
na stronę diontraining. com przy użyciu tego rekordu
A @.
Obecnie rekordy A działają tylko dla adresów
IPv4, ale wiele nowoczesnych stron internetowych obsługuje również IPv6.
Aby zmapować nazwę domeny na adres
IPv6, należy użyć rekordu AAAA.
Tak więc, używając witryny Dion Training jako przykładu,
mógłbym ustawić rekord AAAA na 2400:cb00:2049:1::a29f:1804,
gdyby był to adres IPv6 mojego serwera WWW.
Jak widać, adresy IPv6 są o wiele bardziej skomplikowane niż
IPv4 i naprawdę trudne do zapamiętania
dla nas, ludzi,
dlatego lubimy używać tych rekordów AAAA
lub rekordów 4A.
Kolejnym typem rekordu, którego możemy użyć, jest znany jako rekord
CNAME lub rekord nazwy kanonicznej.
Teraz rekord CNAME jest używany zamiast
rekordu A dla rekordu AAAA, jeśli chcesz wskazać domenę
na inną nazwę domeny lub nazwę subdomeny.
Na przykład, posiadam wiele różnych
nazw domen oprócz diontraining. com.
Niektóre z nich dotyczą byłych firm, które prowadziłem lub projektów,
które prowadziłem, a niektóre
z nich planuję wykorzystać kiedyś w przyszłości,
ale w międzyczasie mam je ustawione z rekordem CNAME, który rozwiązuje
się z powrotem na diontraining. com.
Na przykład, kiedyś prowadziłem stronę internetową o nazwie itil4exam. com, ale od tego czasu przestałem
używać tej nazwy domeny
i połączyłem wszystkie te kursy
w moją własną diontraining. com.
Więc kiedy zamknąłem ten stary serwer internetowy, nadal chciałem
umożliwić ludziom wpisywanie itil4exam. com i osiągnąć coś
zamiast strony błędu.
Użyłem więc rekordu CNAME, aby
skierować go bezpośrednio na diontraining. com.
Dlaczego miałbym to robić?
Cóż, byliśmy w innym miejscu przez kilka
lat równolegle z diontrainingiem. com, a wiele z zamieszczonych
tam linków jest w całym Internecie z rekomendacjami
do naszych kursów, które
były hostowane na itil4exam. com.
Jednym z naszych najpopularniejszych kursów z tej strony
był nasz kurs ITIL 4 Foundation,
który znajdował się pod adresem itil4exam. com/itil-4-foundation.
Teraz, jeśli wpiszesz to w przeglądarce
internetowej, rozwiąże ona itil4exam. com część do diontraining. com i przeniesie Cię bezpośrednio
do diontraining. com/itil-4-foundation.
Oznacza to, że nawet jeśli korzystasz
z linku znalezionego na Reddicie, który polecał nasz
kurs sprzed kilku lat, nadal będzie on działał
i przeniesie Cię na naszą stronę sprzedaży,
mimo że oryginalny itil4exam. com nie działa i został
wyłączony.
Innym przypadkiem użycia rekordu
CNAME jest korzystanie z oprogramowania jako usługi,
które zapewnia subdomenę na swoim serwerze.
Na przykład, korzystam z oprogramowania do śledzenia zgłoszeń serwisowych
znanego jako Freshdesk, które jest dostępne pod adresem freshdesk. com i dali nam dość trudną do
zapamiętania subdomenę dla swojej
usługi, coś w rodzaju
FDUS-143-D15. freshdesk. com.
Aby ułatwić moim pracownikom znalezienie
naszego działu pomocy technicznej, utworzyliśmy
rekord CNAME o nazwie Support i skierowaliśmy go na tę trudną do zapamiętania subdomenę.
Więc jeśli moi pracownicy wejdą do wsparcia. diontraining. com, przenosi ich bezpośrednio do naszego systemu wsparcia,
który w rzeczywistości przekierowuje nas do tej instancji w chmurze,
która jest dostarczana przez
subdomenę wydaną przez Freshdesk.
Pamiętaj, że rekordy CNAME nie mogą
być używane do wskazywania adresu IP.
Może być używany tylko do wskazywania innej nazwy
domeny lub subdomeny.
Następnie mamy rekord
MX, który oznacza rekord wymiany poczty
i robi to, co myślisz.
Pomaga ustalić, gdzie znajduje się serwer poczty e-mail.
Rekord MX służy do kierowania wiadomości e-mail na serwer pocztowy.
Rekordy MX, podobnie jak rekordy CNAME, mogą
być używane tylko do wskazywania innej domeny, a nie adresu IP.
Podczas tworzenia rekordów MX, będziesz również
w stanie określić priorytet dla każdego z
tych rekordów.
Umożliwia to wskazanie preferencji dotyczących serwera,
z którego wiadomość e-mail powinna próbować korzystać w pierwszej kolejności.
Jeśli chodzi o ustawianie
priorytetu, im niższa wprowadzona liczba, tym
wyższy priorytet.
Zasadniczo są to zasady gry w golfa.
Więc jeśli mamy mail1. diontrainf. com ustawiono
na 10, a mail2. diontraining. com ustawione na 20 dla ich priorytetów, e-maile będą próbowały
najpierw użyć poczty pierwszej.
Jeśli nie uda mu się dotrzeć
do poczty pierwszej, spróbuje dotrzeć do poczty drugiej.
Teraz, jeśli chcesz zrównoważyć obciążenie
poczty e-mail na wielu serwerach, wystarczy ustawić
ich priorytety na tę samą wartość.
Jeśli więc utworzyłem rekordy dla
poczty pierwszej i drugiej, a oba mają priorytet 10, wszystkie
przychodzące wiadomości e-mail będą naprzemiennie i równomiernie
obciążać te serwery.
Pierwszy przechodzi na jeden,
drugi na dwa, trzeci na jeden,
czwarty na dwa itd.
Następnie mamy rekordy TXT, czyli rekordy tekstowe.
Obecnie rekord tekstowy jest używany przez administratorów
domen do dodawania tekstu do systemu nazw domen (DNS).
Pierwotnie rekordy tekstowe zostały zaprojektowane
jako sposób na dodawanie czytelnych dla człowieka notatek do naszych rekordów
DNS, a z biegiem czasu coraz więcej rzeczy zaczęło być
dodawanych do tych rekordów tekstowych, a ostatecznie zaczęliśmy
dodawać dane do odczytu maszynowego również do tych
rekordów tekstowych, i to właśnie tam zobaczysz głównie
w dzisiejszych czasach.
Twoja domena może mieć również
wiele różnych rekordów tekstowych.
Nie jesteś ograniczony tylko do jednego z nich.
W większości przypadków rekordy tekstowe
są używane do udowodnienia własności domeny poprzez
dodanie kodu do odczytu maszynowego w celu weryfikacji oraz do zapobiegania
spamowi e-mail, ponownie poprzez dodanie określonego
kodu do odczytu maszynowego do rekordu TXT.
Na przykład w diontraining. com, mamy rekord tekstowy
o nazwie fdkey. i teksturowanie 32 cyfr szesnastkowych
wewnątrz naszych
rekordów DNS.
Pozwala to naszemu systemowi wsparcia Freshdesk zweryfikować, że jesteśmy
właścicielem nazwy domeny diontraining. com, więc są upoważnieni do wysyłania wiadomości
e-mail w naszym imieniu do naszych studentów, gdy nasz zespół odpowiada
w ich systemie na zgłoszenie
do pomocy technicznej.
Jest to forma weryfikacji własności domeny, ponieważ
ich system może sprawdzić nasze rekordy DNS i zobaczyć,
że wprowadziliśmy tę unikalną serię 32 cyfr szesnastkowych
do naszego rekordu DNS TXT.
Zasadniczo działa to jak hasło,
które mówi: "Hej, jestem właścicielem tej domeny. W rekordach TXT można również umieścić informacje takie jak SPF,
DKIM lub wiadomości DMARC, aby pomóc
w weryfikacji usług e-mail i zablokować
przesyłanie fałszywych lub niechcianych
wiadomości znanych jako spam do innych osób korzystających z
domeny i adresów e-mail.
SPF lub sender policy
framework, jest to rekord DNS, który identyfikuje
hosta upoważnionego do wysyłania poczty
dla domeny i będzie tylko jeden
dozwolony dla każdej domeny.
Teraz, patrząc na nie, będziesz mieć coś,
co wygląda tak, a jest to rekord DNS zwany rekordem
tekstowym.
Zauważysz, że ma znak @, a następnie
mówi V=SPF1, co jest strukturą polityki nadawcy jeden.
To pierwszy z nich.
Następnie ma MX, który jest rekordem serwera pocztowego,
a następnie mówi include:_SPF. google. com i dołączyć:email.
freshdesk. com-all.
Co ci to mówi?
W rzeczywistości jest to rekord SPF dla mojego serwera pocztowego.
Teraz, dlaczego mamy google. com tam?
Cóż, to dlatego, że używamy G Suite od Google, a więc Google jest naszym dostawcą
usług e-mail.
Nie prowadzimy własnego serwera poczty e-mail.
Zamiast tego pozwalamy im to robić i dajemy im do tego upoważnienie,
że są upoważnieni do wysyłania wiadomości
e-mail w naszym imieniu poprzez dołączenie
oświadczenia SPF.
Drugi z nich może cię
zastanawiać: "Po co to?
Myślałem, że można mieć tylko jedną. Cóż, możesz mieć tylko
jedną deklarację SPF, ale cała ta
rzecz jest jedną linią, gdy jest
napisana w DNS, a cała ta rzecz od tekstu aż do wszystkich
jest jedną linią, a to jest jedna pojedyncza deklaracja SPF.
Mogę autoryzować wiele serwerów do wysyłania w moim imieniu,
ale mogę to zrobić tylko w jednej linii DNS, jak widać tutaj,
a Freshdesk to nasz system zgłoszeń problemów.
Jeśli wyślesz wiadomość e-mail do działu pomocy technicznej w Dion Training,
trafi ona do Freshdesk, ale jeśli wyślesz wiadomość
e-mail na mój osobisty adres e-mail w Dion
Training, trafi ona do Google, ponieważ
to on obsługuje nasze osobiste wiadomości e-mail dla naszej firmy,
więc musisz uwzględnić oba
te elementy we wszystkim, co będzie autoryzowane do wysyłania w Twoim
imieniu w tym oświadczeniu.
Następną rzeczą, o której musimy porozmawiać, jest DKIM lub dkim.
Teraz jest to poczta identyfikowana za pomocą kluczy domeny.
Zapewnia to kryptograficzny mechanizm uwierzytelniania poczty przy użyciu klucza
publicznego opublikowanego jako rekord DNS.
Teraz, gdy sprawdzisz SPF
lub DKIM, zobaczysz coś takiego.
Oto przykład pokazujący pocztę dla Adobe. com.
Możesz zobaczyć DMARC na górze,
o którym porozmawiamy za chwilę, zobaczysz
SPF, o którym właśnie rozmawialiśmy,
a następnie zobaczysz DKIM,
o którym teraz mówimy.
Jest to w zasadzie bardzo długi kryptograficzny
klucz uwierzytelniający, który można zobaczyć na ekranie.
Obecnie DKIM może zastąpić SPF lub być z nim używany.
Następnym, o którym będziemy mówić,
jest DMARC, a DMARC to raportowanie i zgodność uwierzytelniania
wiadomości opartego na domenie.
Jest to w zasadzie framework, który służy do zapewnienia
prawidłowego stosowania
SPF i DKIM przy użyciu polityki
opublikowanej jako rekord DNS, co pokazałem
bardzo krótko na ostatnim obrazku na ekranie,
gdy pokazałem ci DMARC jako górną linię
tego obrazka.
Jeśli chcesz wrócić i przyjrzeć się temu,
możesz to zrobić w tym momencie.
Teraz, gdy masz do czynienia
z DMARC, możesz użyć tego albo
z SPF, z DKIM, albo używając
obu, ponieważ pamiętaj, że SPF i DKIM nie muszą być używane razem.
Możesz użyć jednego lub drugiego,
lub możesz użyć obu, a DMARC będzie używany z jednym z nich lub z obydwoma.
Teraz, gdy masz do czynienia
z MARC, tak to wygląda.
Jak to wszystko ze sobą współgra?
Cóż, najpierw musisz upewnić się, że
SPF, DKIM i DMARC znajdują się na serwerze DNS.
Gdy masz już wszystkie te rekordy,
rozpoczyna się cały proces.
Teraz, gdy już raz to zrobisz, wszystko
inne będzie następować za każdym razem, gdy chcesz
wysłać wiadomość.
W tym przykładzie będziemy mieć dwie wysyłane
wiadomości, jedną z serwera SMTP, która jest autoryzowana
i wyświetlana na zielono, a drugą od przeciwnika, który próbuje
sfałszować twoją domenę, która będzie
wyświetlana na czerwono.
Zacznijmy od tego, który jest autoryzowany.
Tutaj jest wymieniony jako 2A.
Twój nadawca wyśle tę wiadomość do MTA.
Trafia ona do MTA, czyli agenta
przesyłania wiadomości, który ostatecznie przyjmuje
tę wiadomość z nagłówkiem SPF lub DKIM.
Pozostańmy przez chwilę przy tym przesłaniu,
a następnie wrócimy do przeciwnika.
Gdy MTA otrzyma tę wiadomość, przejrzy
ją i przetworzy.
Kiedy to robi, częścią tego będzie wyszukiwanie
polityki DMARC nadawcy oraz rekordów
SPF i DKIM za pośrednictwem DNS, tak jak rozmawialiśmy
o tym w ciągu ostatnich trzech lub czterech minut.
Teraz, gdy MTA to zrobi, jeśli jest to legalne, wiadomość
ta może zostać umieszczona w skrzynce pocztowej
odbiorcy na serwerze IMAP i czekać, aż dana osoba będzie mogła odczytać swoją wiadomość
za pomocą swojego agenta użytkownika poczty.
To wszystko jest dobre, ponieważ wiedzą, że ta wiadomość
była autentyczna, ponieważ porównali te wartości z SPF, DKIM
lub DMARC, w oparciu
o skonfigurowaną politykę.
Teraz, jeśli spojrzymy na przeciwnika z drugiej strony, kiedy wysyła
wiadomość, nadal trafia ona do MTA, ponieważ musi dotrzeć do MTA, aby dotrzeć
do użytkownika końcowego.
Gdy jednak tam dotrze, MTA sprawdzi
go pod kątem polityki DMARC, patrząc na rekordy SPF
lub DKIM.
Gdy to zrobi, jeśli nie będą pasować, odrzuci
tę wiadomość, usunie ją lub podda kwarantannie
i wyrzuci, jak widać w 5B.
Ponownie, to jest sposób, w jaki te rzeczy działają, a używając
DKIM, DMARC i SPF razem, możemy dodać trochę
bezpieczeństwa do naszych organizacji.
Na koniec mamy rekord NS, który oznacza
rekord serwera nazw.
Rekord serwera nazw służy do wskazania,
który serwer DNS na świecie będzie autorytatywny
dla danej domeny.
Jest to ważne, ponieważ DNS wykorzystuje model hierarchiczny,
o którym mówiliśmy, a wszystkie serwery muszą wiedzieć,
kto jest właścicielem tego rekordu i jest upoważniony do
wprowadzania w nim zmian.
Serwer nazw to typ serwera DNS, który przechowuje
wszystkie rekordy DNS dla danej domeny,
w tym wszystkie typy, które już omówiliśmy, takie
jak rekordy A, rekordy AAAA, kanoniczne rekordy nazw, rekordy wymiany poczty
MX i rekordy tekstowe TXT.
Często istnieje więcej niż jeden serwer nazw dla domeny,
więc możesz mieć podstawowy i zapasowy serwer nazw.
Dodatkowo, nie zawsze trzeba
hostować własne serwery nazw.
W przypadku diontraintraining. com, nie hostujemy własnych
serwerów nazw.
Zamiast tego polegamy na Cloudflare,
który jest dostawcą usług w chmurze, który robi to za nas.
Jeśli więc sprawdzisz rekordy DNS dla diontraining. com, wiarygodnym źródłem są dwa
serwery nazw Cloudflare.
Do tej pory mówiłem o DNS z perspektywy hostowania
publicznie dostępnego serwera DNS,
do którego każdy na świecie może uzyskać dostęp, ale DNS
może być faktycznie używany wewnętrznie
lub zewnętrznie.
Wszystko, o czym mówiłem do tej
pory, dotyczyło kwestii zewnętrznych, ale porozmawiajmy
trochę o kwestiach wewnętrznych.
W dzisiejszych czasach w chmurze obliczeniowej bardzo często
konfiguruje się również wewnętrzną usługę
DNS, która umożliwia instancjom chmury w
tej samej sieci lub chmurze prywatnej dostęp do siebie nawzajem za pomocą wewnętrznych
nazw DNS zamiast konieczności używania ich adresów IP.
W tym celu tworzone są wewnętrzne rekordy A, a także
wewnętrzne rekordy wskaźników w
strefie odwrotnej.
Na szczęście większość dostawców usług w chmurze
automatycznie tworzy, aktualizuje
i usuwa te wewnętrzne rekordy DNS podczas tworzenia i usuwania różnych maszyn
wirtualnych i innych instancji w chmurze prywatnej.
Zewnętrzny DNS jest jednak tym, z czym większość
z nas będzie bardziej zaznajomiona.
Są to rekordy tworzone wokół nazw domen, które
kupujemy od centralnego organu
i których używamy w publicznym
Internecie.
Teraz dla każdego rekordu DNS mamy również
tak zwany TTL, czyli czas życia, który jest z nim powiązany.
Czas życia to ustawienie, które mówi resolwerowi
DNS, jak długo może buforować zapytanie przed zażądaniem nowego.
Jeśli więc moje rekordy DNS są ustawione z czasem
życia wynoszącym 86 400 sekund, co jest zwykle wartością
domyślną, oznacza to, że mój komputer rozwiąże
ten rekord DNS i zapamięta go przez 24 godziny, zanim będzie musiał
wrócić do serwera DNS i ponownie poprosić o te
informacje.
Ten resolver DNS, znany również jako pamięć podręczna
DNS, znajduje się na indywidualnym hoście.
Jeśli na przykład korzystasz z systemu Windows 10, Twój komputer tworzy lokalną
kopię każdego wpisu DNS, który rozwiązuje,
gdy łączysz się ze stronami internetowymi w całym
Internecie.
Ta tymczasowa baza danych zapamiętuje
odpowiedzi otrzymane z serwera DNS.
Więc jeśli przejdziesz do diontraining. com, za pierwszym razem komputer musi zapytać
serwer DNS o ten adres IP,
ale teraz wie, gdzie
się znajduje i pamięta ten
adres IP przez następne 24 godziny.
Jeśli dziś odwiedziłeś moją stronę
pięć razy, musiałeś wyszukać ten adres IP tylko raz.
Pomaga nam to przyspieszyć cały proces.
Jeśli spróbujesz ponownie jutro, twój komputer
najpierw sprawdzi pamięć podręczną DNS i zobaczy,
że jest tam rekord.
Ale jeśli ten czas życia już minął, unieważni
ten rekord i wykona kolejne
wyszukiwanie.
Ostatnią rzeczą, którą musimy omówić,
jest koncepcja rekursywnego wyszukiwania.
Widzisz, kiedy twój komputer chce znaleźć daną stronę
internetową, taką jak diontraining. com, musi najpierw zapytać swój
serwer DNS, gdzie się znajduje.
Jeśli więc siedzisz
w domu i korzystasz na przykład z połączenia Verizon
Fios, zapytasz ich serwer
DNS: "Who's diontraining. com? Teraz DNS Verizon może znać adres
IP diontraining lub
nie. com.
W końcu istnieją miliony witryn internetowych, a jeśli musieliby
zsynchronizować nasze rekordy
co 24 godziny, zajęłoby to dużo czasu.
Zamiast tego DNS wykorzystuje
strategię rekursywną do wyszukiwania.
Więc pytasz Verizon, a jeśli nie znają odpowiedzi, przejdą na wyższy poziom i zapytają
następny serwer DNS.
Jeśli serwer nie zna odpowiedzi, przejdzie na wyższy poziom
i będzie kontynuował ten proces, dopóki nie znajdzie
kogoś, kto zna adres IP diontraining.
com.
Teraz, jeśli podczas tej rekurencji
dotrze aż do . com lub domena trasy dla diontraining. com, wtedy może
zapytać . com, który serwer DNS jest autorytatywny
dla diontrain. com i uzyskać wiarygodną odpowiedź
bezpośrednio od nich.
Zasadniczo, w przypadku wyszukiwania
rekursywnego, resolver DNS mówi: "Nie wiem, jaki jest
adres IP tej domeny, ale zapytam mój
serwer DNS, a ten serwer będzie
go szukał, aż go znajdzie, a następnie
poda mi ten adres IP. Teraz można użyć innej metody,
która jest znana jako iteracyjne
wyszukiwanie.
W przypadku wyszukiwania iteracyjnego jest ono podobne
do wyszukiwania rekurencyjnego, z tą różnicą, że serwer DNS
nie będzie kontynuował wyszukiwania informacji dla użytkownika i wysyłania mu wyniku.
Zamiast tego, w iteracyjnym wyszukiwaniu,
resolver DNS zapyta serwer DNS o adres IP domeny,
a jeśli serwer DNS nie będzie wiedział,
powie resolverowi, aby zapytał następny serwer
DNS, a ten serwer poda swój adres
IP.
W przypadku wyszukiwania rekursywnego, serwer DNS
wyszuka go i zgłosi z powrotem do resolvera,
ale w przypadku wyszukiwania iteracyjnego,
twój resolver DNS będzie nieustannie
wykonywał to zapytanie przez całą rekurencję, aż
znajdzie ten z adresem IP dla tej domeny, więc tak naprawdę
jest to tylko kwestia tego, kto szuka
tych informacji.
W porządku, omówiliśmy wiele informacji w tej
lekcji, więc jako krótkie
podsumowanie, co musisz wiedzieć na egzamin?
Cóż, musisz zrozumieć, jak działa DNS, używając różnych
typów rekordów do konwersji nazw domen na
adresy IP i adresów IP na nazwy domen.
Należy pamiętać, że rekordy A są używane dla nazw domen
z adresami IPv4, podczas gdy rekordy AAAA są używane
dla nazw domen z adresami IPV6.
Rekordy CNAME służą do mapowania nazw
domen na inne nazwy domen.
Rekordy MX są używane dla poczty e-mail, a rekordy
NS są używane dla serwerów nazw.
Rekordy TXT przechowują tekst w postaci danych
czytelnych dla człowieka lub danych czytelnych maszynowo.
Jeśli zapamiętasz to podsumowanie, powinieneś być w stanie odpowiedzieć
na większość pytań dotyczących DNS, które
pojawią się na egzaminie.