DNS

DNS (engl. Domain Name System eli nimipalvelujärjestelmä) on hajautettu järjestelmä, jonka avulla voidaan nimetä tietokoneita ja palveluja Internetissä tai muissa IP-verkoissa. Se on tärkeä osa internetin infrastruktuuria, ja se toimii puhelinluettelon tavoin kääntäen verkkotunnuksia IP-osoitteiksi (esimerkiksi fi.wikipedia.org on 185.15.59.224).

Internetin laitteet kommunikoivat keskenään pitkien numeeristen IP-osoitteiden avulla, joiden muistaminen sellaisenaan olisi hankalaa ja epäkäytännöllistä.

Nimipalvelun toteuttavia palvelimia kutsutaan nimipalvelimiksi ja niitä on neljää eri tyyppiä:

• Paikallinen nimipalvelin (engl. resolver) vastaa käyttäjien nimipalvelupyyntöihin ja hakee niihin vastaukset muilta nimipalvelimilta.
• Virallinen tai auktoritatiiviset nimipalvelin (engl. authoritative nameserver) sisältää ja tarjoaa tietyn verkkotunnuksen DNS-tietueet eli IP-osoitteet, joihin verkkotunnus osoittaa.
• Verkkotunnuspalvelin (engl. TLD nameserver) ohjaa pyynnöt oikealle viralliselle nimipalvelimelle. Niitä on jokaista verkkotunnuspäätettä (kuten .com, .fi, .org...) kohden, ja ne sisältävät nimipalvelintiedot kaikille verkkotunnuksille, jotka loppuvat kyseiseen päätteeseen. Niitä hallitsee IANA.
• Juuripalvelin (engl. root nameserver) ohjaa pyynnöt oikealle verkkotunnuspalvelimelle. Niitä on yhteensä 13 kappaletta, ja niitä hallitsee IANA.

Nimipalvelun historia

Tietokoneita on nimetty niiden keksimisestä lähtien, samoin tietoverkkoja. DNS on rakennettu tukemaan IP-protokollaa käyttäviä verkkoja ja nimipalvelun kannalta on epäolennaista kuinka nimet toimivat muissa verkoissa.

IP-verkon alkuaikana osoitteille annettiin nimiä ainoastaan hosts-tiedostossa, jonka kopiota jaettiin koneiden välillä. Laitekannan kasvaessa menetelmä ei ollut käytännöllinen, ja vuonna 1983 Jon Postel pyysi Paul Mockapetrisiä ratkaisemaan nimiin liittyvän ongelman. Alkuperäinen nimipalvelun määritelmä löytyy dokumenteista RFC 882 ja RFC 883. Vuonna 1987 nimipalvelun määritelmiä päivitettiin RFC 1034- ja RFC 1035 -dokumenteissa, jolloin muodostui nykyisen nimipalvelun perusta.

Nimipalvelua kehitetään edelleen. Vuosien aikana nimipalveluun on lisätty tietoturvaa tukevia tietotyyppejä, sen dynaamisuutta on paranneltu ja määrityksiä täsmennetty.

Ensimmäinen nimipalvelusovellus oli Paul Mockapetrisin luoma JEEVES. Myöhemmin Berkeleyn opiskelijat Douglas Terry, Mark Painter, David Riggle ja Songnian Zhou kirjoittivat sovelluksen uusiksi, ja antoivat sille nimeksi Berkeley Internet Name Domain eli BIND.

Verkkotunnus nimipalvelussa

Pääartikkeli: Verkkotunnus

Verkkotunnuksen osat erotetaan toisistaan pisteellä. Yleensä osat kirjoitetaan järjestyksessä spesifisemmästä laajempaan vasemmalta oikealle, eli juuresta katsottuna oikealta vasemmalle. Ensimmäisen tason verkkotunnus on juuri, joka on pelkkä piste. Juuresta seuraavan tason tunnuksia nimitetään ylätason verkkotunnuksiksi (Top-Level Domain eli TLD). Kaikki ylätason verkkotunnukset ovat säädeltyjä, ja lähes kaikilla ylätason verkkotunnuksilla on oma, erillinen rekisterinsä.

Ylätason verkkotunnuksia on kahta päätyyppiä, maatunnuksia (Country Coded TLD eli ccTLD) ja yleisluontoisia tunnuksia (Generic TLD eli gTLD). Esimerkiksi Suomessa käytettävä maatunnus on fi. Yleisluontoisia puolestaan ovat .com, .org ja .net. Ylätason verkkotunnuksen haltija, Suomessa esimerkiksi Traficom, jakelee edelleen hallinnoimansa ylätason tunnuksen aliverkkotunnukset. Ylätason aliverkkojen kaksiosaisia tunnuksia – esimerkiksi wikipedia.org – kutsutaan verkkotunnuksiksi.

Verkkotunnuksen ylläpitäjä voi edelleen tehdä omalle verkkotunnukselleen aliverkkotunnuksia. Tällainen on esimerkiksi dhcp.inet.fi, jonka alla olevat verkkotunnukset ovat samassa laajakaistaverkossa olevien koneiden tunnuksia.

Verkkotunnuksia IP-osoitteisiin puhelinluettelon tavoin liittävän nimipalvelun lisäksi on olemassa käänteisnimipalvelu, jonka avulla saadaan selville IP-osoitetta vastaava verkkotunnus. Käänteisosoitteiden juuri on in-addr.arpa. Osoitteet muistuttavat tavanomaisia verkkotunnuksia. Merkittävin ero on se, että niihin viitataan eri tietotyypillä kuin tavallisiin nimiin. Käänteisverkkotunnuksen saa palveluntarjoajalta tai Internet-rekisteristä. Euroopan alueella Internet-rekisteri on RIPE.

ISC:n mukaan tammikuussa 2017 internetissä oli 1 062 660 523 nimeä DNS-järjestelmässä.

Verkkotunnuksella voi olla useita osoitteita nimipalvelussa esimerkiksi kuormituksen tasaamisen vuoksi (ks. RFC 1035, RFC 1794).

Resolverit

Mallinne resolverin toiminnasta.

Arkikielessä nimipalvelimilla tarkoitetaan usein ainoastaan resolvereja, jotka määritellään Internetin tietokoneille staattisesti tai DHCP:n avulla. Tavallisesti resolvereita määritellään kaksi tai useampia.

Resolvereiden tärkein tehtävä on etsiä vastauksia nimipalvelukyselyihin. Resolverit tallettavat vastauksia välimuistiin, millä vältetään rekursio silloin, kun jotain nimeä kysytään usein. Tämä parantaa resolvereiden tehokkuutta.

Resolverin rekursio selvittää, onko kysytty nimi tai sen osa välimuistissa. Mikäli koko nimi on välimuistissa, eikä vanhentunut, se palautetaan ilman rekursiota. Mikäli vain nimen vähemmän merkitsevä osa on välimuistissa, tehdään ulossuuntautuvia kyselyjä, jotta resolveri pystyy kertomaan pyydetyn tiedon. Samalla se myös tallennetaan välimuistiin. Jos välimuisti on tyhjä, resolveri käyttää vihjetiedostoa, jonne juurinimipalvelimet on merkitty, ja ryhtyy sen kautta täyttämään välimuistiaan.

Resolveri ei saa pitää välimuistissaan tietoja kauempaa kuin nimipalveluun on määritelty. Välimuistissapitämisaikaa (Time to Live eli TTL) säätelevät autoritääristen nimipalvelimien (katso alempana) ylläpitäjät. Käytössä olevan resolverin olisi syytä olla verkossa mahdollisimman lähellä ja tehokkaalla koneella, jotta nimipalvelun käyttötuntuma olisi nopea.

Resolverin tulisi vastata ainoastaan sen organisaation kyselyihin jonka käytössä kone on.

Autoritääriset nimipalvelimet

Autoritääriset nimipalvelimet vastaavat resolvereiden tekemiin kyselyihin. Verkkotunnuksen suhteen vähemmän merkitsevät nimipalvelimet kuten juurinimipalvelimet eivät tiedä lopullista vastausta, mutta tietävät millä nimipalvelimilla enemmän merkitsevä verkkotunnus sijaitsee. Tämä synnyttää rekursion.

Juuri- ja TLD-nimipalvelimia ylläpidetään ammattimaisesti ja ne on hajautettu Jokulähetys (anycast) -tekniikalla. Nimipalvelusisällön TLD-nimipalvelimet saavat verkkotunnusrekisteristä. Kolmannen tason verkkotunnuksille, kuten example.com, auktoritatiiviset nimipalvelimet määrittelee verkkotunnuksen rekisteröijä. Kolmannen tason autoritääriset nimipalvelimet voivat olla enemmän tai vähemmän ammatillisesti ylläpidettyjä.

Jokaisella verkkotunnuksella tulisi olla vähintään kaksi autoritääristä nimipalvelinosoitetta. Osoitteita voi olla enemmän kuin kaksi, ja niitä voi hajauttaa fyysisesti useisiin paikkoihin Jokulähetyksen tai kuormantasaajan avulla. Yhden autoritäärisistä nimipalvelimista täytyy olla master, joka jakaa muille verkkotunnuksesta kopion. Kopioita vastaanottavien koneiden nimi on slave. Verkkotunnuksen kopion siirtymistä masterilta slavelle kutsutaan nimellä zone transfer, joka on tavanomaisesti rajoitettu ainoastaan koneille, jotka ovat nimipalvelimen pääsylistalla tai pitävät hallussaan TSIG-avainta.

Autoritääriset nimipalvelimet voivat ottaa päivityksiä vastaan asiakaskoneilta. Tekniikka, jolla päivitykset toteutetaan, on nimeltään dynaaminen DNS (DynDNS). Päivitysten tarkoituksena on asettaa nimi- ja IP-pareja asiakaskoneen pyynnöstä vastaamaan toisiaan.

Autoritäärisille nimipalvelimille voidaan tehdä eri näkymiä (view) eri verkko-osoitteista, tai osoiteavaruuksista, tuleville kyselyille. Näkymien avulla nimipalvelun ylläpitäjä voi joustavasti ohjailla liikennettä. Ellei näkymien käytön kanssa ole varuillaan niillä voi aiheuttaa outoja ongelmia.

Autoritääristen nimipalvelimien on vastattava kaikkialta Internetistä tuleviin kyselyihin.

Tietueet

Nimipalvelun sisältötieto kulkee tietueiden välityksellä. Nimipalvelun kannalta verkkotunnus on tietue siinä missä nimi-ip-pari. Yleisimmin tarvittuja tietueita ovat:

A	Tietue, joka osoittaa IP-osoitteen
PTR	IP-osoite, joka osoittaa nimen
MX	Tietuetta palvelevat sähköpostipalvelimet
NS	Verkkotunnuksen nimipalvelimet
SOA	Verkkotunnuksen hallintatiedot
TXT	Tietueen osoittama vapaateksti

Tietueissa sallittuja merkkejä ovat kirjaimet, numerot ja yhdysviiva. Pienet sekä isot kirjaimet tarkoittavat samaa ja muut merkit eivät ole sallittuja. Poikkeuksen muodostaa NAPTR-tietue, jossa on sallittu alaviiva ja tietuesisällössä säännölliset lausekkeet. Toinen poikkeus on SRV-tietue, jossa on sallittu alaviivan käyttö.

Seuraavat tietueet ovat verrattaen uusia:

AAAA	Tietue, joka osoittaa IPv6-osoitteen
DNAME	Verkkotunnusten nimeäminen uudelleen
NAPTR	"Puhelinnumerotietue"
SRV	Palvelunosoitustietue

Resolveri voi tehdä myös ANY-kyselyn, joka ei ole varsinaisesti tietue. Tehtäessä ANY-kysely vastaus sisältää kaikki tietueet jotka liittyvät nimeen. Vastaavasti autoritäärisille nimipalvelimille voidaan määritellä tähtitietue (wildcard), joka muuntaa verkkotunnuksen määrittelemättömät nimet vastaukseksi joka tähtitietueeseen on määritelty. Kolmas yleisesti tiedossa oleva melkein tietue, on SPF (Sender Policy Framework) joka määritellään TXT-tietueen sisällöksi.

Suojaaminen

DNS-tietojen varmistamiseen ja suojaamiseen väärentämisen estämiseksi on kehitetty tekniikoita kuten DNSSEC ja DNS over TLS, joista jälkimmäinen käyttää TLS-kerrosta.

Vaihtoehdot

Vaihtoehtona DNS:lle on kehitetty GNU Name System (GNS), joka on kuvattu IETF-standardissa RFC 9498 - The GNU Name System. GNS:n tarkoituksena on korjata DNS:n turvallisuuteen ja yksityisyydensuojaan liittyviä ongelmakohtia. GNS on kehitetty GNUnetiä varten Deutsche Forschungsgesellschaftin tutkimusrahoituksen tuella. GNS toimii hajautetusti ja se voi toimia myös osittaisena korvikkeena julkisen avaimen infrastruktuureille.

Aiheesta muualla

• Kuvia tai muita tiedostoja aiheesta DNS Wikimedia Commonsissa