Как работает DNS: превращение имён в адреса

Вы вводите адрес сайта в браузер: example.com. Через миллисекунды вы видите страницу. Но как компьютер узнал, куда на самом деле отправить запрос? На самом деле он знает не имя сайта, а его адрес — последовательность цифр вроде 93.184.216.34. Между вводом имени и получением адреса стоит система, которая их соединяет. Эта система называется DNS, и она работает как телефонный справочник интернета.

ДНС — это не один сервер и не одна программа. Это распределённая система, которая координирует миллиарды запросов в день. Понимание того, как она устроена, поможет вам увидеть, почему она стала основным инструментом интернет-цензуры, и почему ваш интернет-провайдер знает, какие сайты вы посещаете, даже если вы пользуетесь шифрованием.

Прежде всего, что такое IP-адрес

Интернет-провайдер (ISP) — организация, которая предоставляет вам доступ в интернет — назначает вашему устройству адрес вроде 192.168.1.5 или 2001:db8::1. Это внутренний адрес, который виден только в вашей локальной сети. Но маршрутизаторы и серверы в интернете используют другие адреса — публичные IP-адреса. Каждый веб-сервер имеет публичный IP-адрес. Без него браузер не знает, куда отправить пакеты данных.

Когда вы вводите example.com, браузер не может напрямую использовать это имя. Он спрашивает: какой IP-адрес соответствует этому имени? Этот вопрос отправляется в DNS.

Путешествие запроса через четыре типа серверов

ДНС-запрос проходит через четыре типа серверов, и каждый играет свою роль. Представьте себе почту: вы письмо отправляете на местное отделение, оно идёт в районное, потом в городское, потом в адресный справочник, и справочник говорит, кому это письмо доставить.

Вашему браузеру нужен резолвер — это программа или сервис, который начинает поиск. Часто резолвер — это компьютер вашего интернет-провайдера или публичный сервис. Резолвер получает ваш вопрос: какой IP у example.com?

Резолвер отправляет запрос корневому серверу. В мире есть только 13 групп корневых серверов (они дублируются в разных местах для надёжности). Корневой сервер не знает IP example.com. Вместо этого он говорит: я не знаю, но спросите сервер TLD для зоны .com. TLD расшифровывается как Top-Level Domain — это последняя часть имени сайта.

Резолвер спрашивает TLD-сервер: какой IP у example.com? TLD-сервер тоже не знает точный адрес, но он знает, какой авторитетный сервер отвечает за example.com. Авторитетный сервер — это сервер, администрирующий конкретный домен. TLD-сервер говорит: спросите этот авторитетный сервер.

Резолвер отправляет вопрос авторитетному серверу example.com. Вот здесь-то и живёт правда: авторитетный сервер хранит запись, которая говорит: example.com — это 93.184.216.34. Резолвер получает ответ, возвращает его вашему браузеру. Браузер теперь знает, куда отправить запрос, и загружает страницу.

Всё это занимает десятки миллисекунд. Резолверы кэшируют ответы — то есть они запоминают недавние результаты и не спрашивают снова, пока кэш не устареет.

Почему DNS не зашифрован, и почему это важно

Весь этот процесс по умолчанию не зашифрован. Когда вы спрашиваете резолвер о example.com, ваш интернет-провайдер может перехватить этот запрос и увидеть, какой сайт вы ищете. Не увидеть содержимое страницы — содержимое защищено протоколом HTTPS — но увидеть само имя.

Представьте: вы посылаете открытку с адресом. Почтальон видит адрес, хотя письмо запечатано. С DNS то же самое. Ваш провайдер видит, что вы ищете banking.example.com или independent-news.example.com, даже если соединение с сайтом защищено.

Это создало две проблемы. Первая — приватность. Второе — цензура.

ДНС как инструмент цензуры

ДNS — самый дешёвый и простой способ заблокировать сайт. Вместо того чтобы блокировать трафик на уровне IP-адреса или содержимое на уровне пакетов, цензор просто говорит резолверам: когда вы видите запрос о example.com, верните неправильный IP-адрес или вообще не отвечайте. Браузер получит пустой ответ или будет перенаправлен на страницу блокировки.

ДНС-блокировка используется повсеместно. Она дешевая, не требует сложного оборудования, её видят пользователи (блокировка явна), и она работает на уровне резолверов, контролируемых государством или провайдером.

Защифрованные альтернативы: DoH и DoT

Чтобы скрыть DNS-запросы от провайдера, разработаны два стандарта: DoH (DNS over HTTPS) и DoT (DNS over TLS). Оба зашифровывают запрос, как будто вы отправляете письмо в запечатанном конверте.

Но тут есть трейдофф. Если вы используете DoH через публичный резолвер (например, резолвер, работающий через большую компанию), провайдер не видит, какой сайт вы ищете, но этот публичный резолвер видит. Вы переносите доверие с одного оператора на другого. Кроме того, в некоторых странах DoH и DoT блокируют напрямую или затрудняют их использование.

Ключевой вывод

DNS работает как справочник: браузер просит имя, DNS возвращает адрес. Этот процесс состоит из нескольких запросов к разным серверам, и ваш интернет-провайдер видит каждый запрос в открытом виде. Именно поэтому DNS стал основным инструментом цензуры — дешёво, эффективно, видно. Зашифрованные альтернативы вроде DoH помогают, но создают новые вопросы о доверии и могут быть заблокированы.

Дальше изучите: как работает HTTPS и почему шифрование соединения недостаточно, чтобы скрыть, какие сайты вы посещаете; как VPN работает на уровне резолвера; как цензоры обходят защифрованный DNS.