mDNS

mDNS (Multicast DNS, многоадресный DNS) — это протокол разрешения имён хостов в локальной сети без использования централизованного DNS-сервера. Он работает поверх многоадресной (multicast) рассылки UDP-пакетов и позволяет устройствам в одной подсети автоматически обнаруживать друг друга по доменным именам, заканчивающимся на домен верхнего уровня .local. Протокол определён в стандарте RFC 6762 (2013 год) и является основой для технологий Zeroconf (Zero Configuration Networking) и Bonjour (Apple).

История и развитие

Протокол mDNS был разработан как часть инициативы Zeroconf, направленной на создание сетей, не требующих ручной настройки IP-адресов, DNS-серверов и других сетевых параметров. Первые версии протокола появились в конце 1990-х годов в рамках проекта Apple Rendezvous (позже переименованного в Bonjour). В 2000-х годах mDNS стал широко применяться в операционных системах macOS, iOS, а затем и в Linux (через пакет Avahi) и Windows (с ограниченной поддержкой).

В 2013 году протокол был формализован в RFC 6762, а его использование в контексте DNS Service Discovery (DNS-SD) — в RFC 6763. С тех пор mDNS является стандартным механизмом для обнаружения служб и устройств в локальных сетях, особенно в экосистемах Apple и в IoT-устройствах.

Принцип работы

Основные отличия от обычного DNS

В отличие от традиционного DNS, где клиент отправляет запрос на известный сервер (обычно на порт 53, unicast), mDNS использует групповую адресацию. Запросы отправляются на многоадресный адрес IPv4 224.0.0.251 или IPv6 FF02::FB и порт UDP 5353. Все устройства, поддерживающие mDNS в одной подсети, прослушивают этот адрес и могут отвечать на запросы, касающиеся их собственных имён.

Процесс разрешения имени

1. Инициализация: Устройство, желающее зарегистрировать своё имя (например, my-printer.local), проверяет, не занято ли оно, отправляя mDNS-запрос на это имя. Если никто не отвечает, устройство объявляет себя владельцем имени и начинает периодически отправлять объявления (announcements).
2. Запрос: Клиент (например, ноутбук) отправляет mDNS-запрос на имя my-printer.local. Запрос содержит вопрос типа A (IPv4) или AAAA (IPv6).
3. Ответ: Устройство-владелец имени (принтер) получает запрос и отправляет unicast-ответ (или multicast-ответ, если запрос был multicast) с соответствующим IP-адресом. Если владелец не отвечает в течение короткого времени (обычно 1 секунда), клиент может повторить запрос.
4. Кэширование: Ответы кэшируются на клиенте на время, указанное в поле TTL (обычно до 10 минут). Это снижает нагрузку на сеть.

Разрешение конфликтов

Если два устройства пытаются зарегистрировать одно и то же имя .local, возникает конфликт. Протокол предусматривает механизм разрешения: устройство, которое первым объявило имя, имеет приоритет. Второе устройство должно выбрать другое имя (например, my-printer-2.local). Конфликты разрешаются на основе сравнения IP-адресов и меток времени.

Формат пакетов

Пакеты mDNS имеют ту же структуру, что и стандартные DNS-пакеты (RFC 1035), но с некоторыми отличиями:

• Порт назначения — 5353 (вместо 53).
• Флаг QR (Query/Response) может быть установлен как в запросах, так и в ответах.
• Поле ID (идентификатор транзакции) в запросах обычно равно 0.
• Для ответов используется multicast-адрес, если ответ предназначен для всех, или unicast-адрес, если запрос был unicast.

Применение

Обнаружение служб (DNS-SD)

mDNS часто используется в паре с DNS Service Discovery (DNS-SD). Протокол DNS-SD (RFC 6763) позволяет устройствам не только находить IP-адреса, но и узнавать, какие службы доступны в сети (например, печать, AirPlay, обмен файлами). Для этого используются специальные записи PTR (указатель), SRV (сервер) и TXT (текстовые данные).

Пример: принтер регистрирует службу _ipp._tcp.local (Internet Printing Protocol). Клиент отправляет mDNS-запрос на _ipp._tcp.local и получает список всех принтеров в сети.

Экосистема Apple (Bonjour)

Bonjour — это реализация mDNS/DNS-SD от Apple, встроенная в macOS, iOS, iPadOS, tvOS и watchOS. Она используется для:

• Обнаружения принтеров (AirPrint).
• Совместного использования экрана (AirPlay).
• Обмена файлами (AirDrop).
• Настройки сетевых устройств (HomeKit).

Linux (Avahi)

Avahi — это свободная реализация mDNS/DNS-SD для Linux и других Unix-подобных систем. Она используется в дистрибутивах Linux, а также во встраиваемых системах и IoT-устройствах. Avahi позволяет, например, находить сетевые принтеры, медиа-серверы (UPnP) и SSH-серверы.

Windows

В Windows поддержка mDNS ограничена. Начиная с Windows 10, встроенный клиент mDNS доступен для некоторых служб (например, для AirPlay через iTunes), но полная поддержка Zeroconf отсутствует. Для расширения функциональности используются сторонние реализации, такие как Bonjour для Windows (от Apple) или Avahi (через WSL).

IoT и умный дом

mDNS широко применяется в устройствах Интернета вещей (IoT) и системах умного дома. Например, умные колонки, лампы и датчики часто используют mDNS для автоматического обнаружения в сети. Протокол поддерживается в таких платформах, как HomeKit, Google Home (через Weave) и Matter.

Безопасность и ограничения

Уязвимости

• Отсутствие аутентификации: По умолчанию mDNS не шифрует и не аутентифицирует пакеты. Любое устройство в подсети может отвечать на запросы, подменяя IP-адреса (атака «человек посередине»). Это делает протокол уязвимым в незащищённых сетях (например, в открытых Wi-Fi).
• Распространение запросов: Запросы mDNS рассылаются на все устройства в подсети, что может быть использовано для сбора информации о сети (сетевой разведки).
• Отказ в обслуживании (DoS): Злоумышленник может отправлять поддельные ответы, чтобы заблокировать работу устройств или перегрузить сеть.

Меры защиты

• Изоляция сети: Использование VLAN и сегментации сети для ограничения области распространения multicast-трафика.
• Шифрование: В некоторых реализациях (например, в HomeKit) используется шифрование на уровне приложения, но не на уровне mDNS.
• Фильтрация: На маршрутизаторах и брандмауэрах можно блокировать порт 5353 для недоверенных подсетей.

Ограничения

• Работа только в одной подсети: mDNS не маршрутизируется между разными подсетями (multicast-пакеты обычно не проходят через маршрутизаторы). Для работы через несколько подсетей требуется использование прокси-серверов (например, mDNS reflector) или других протоколов (например, DNS-SD over DNS).
• Зависимость от .local: Домен .local зарезервирован для mDNS, и его использование в глобальном DNS запрещено (RFC 6762). Это может вызывать конфликты с корпоративными сетями, где .local используется для локальных DNS-зон.
• Производительность: В больших сетях (сотни устройств) multicast-трафик может создавать значительную нагрузку, особенно если устройства часто отправляют запросы.

Сравнение с другими протоколами

LLMNR (Link-Local Multicast Name Resolution) — протокол Microsoft, аналогичный mDNS, но менее распространённый. Он также использует multicast, но не поддерживает DNS-SD и несовместим с mDNS.

Интересные факты

• Домен .local является одним из немногих доменов верхнего уровня, который официально не зарегистрирован в глобальной DNS-системе и используется исключительно для локальных сетей.
• Протокол mDNS поддерживается в большинстве современных операционных систем, включая Android (начиная с версии 4.0), но в некоторых версиях Android он отключён по умолчанию.
• В 2019 году была предложена расширенная версия протокола — mDNS over QUIC (RFC 9250), которая добавляет шифрование и устойчивость к потере пакетов.

Источники

• RFC 6762 — Multicast DNS (mDNS)
• RFC 6763 — DNS-Based Service Discovery (DNS-SD)
• RFC 1035 — Domain Names — Implementation and Specification
• RFC 9250 — DNS over Dedicated QUIC Connections
• Документация Apple Bonjour (developer.apple.com)
• Документация Avahi (avahi.org)
• Статья «Multicast DNS» в Википедии (английская версия)