Рекурсивный резолвер

Рекурсивный резолвер — это компонент системы доменных имён (DNS), который выполняет полный процесс разрешения DNS-запроса от имени клиента, самостоятельно обращаясь к нескольким DNS-серверам, пока не получит окончательный ответ (IP-адрес) или сообщение об ошибке. В отличие от итеративного резолвера, который возвращает клиенту лишь ссылку на следующий сервер, рекурсивный резолвер берёт на себя всю работу по поиску и возвращает готовый результат.

Принцип работы

Рекурсивный резолвер является промежуточным звеном между клиентским устройством (например, браузером, почтовым клиентом) и глобальной иерархией DNS-серверов. Процесс разрешения имени включает несколько этапов:

1. Приём запроса от клиента. Клиент отправляет запрос на разрешение доменного имени (например, example.com). Резолвер проверяет, есть ли ответ в собственном кеше.

1. Обращение к корневым серверам. Если кеш пуст или запись устарела, резолвер отправляет запрос к одному из 13 корневых серверов DNS (например, a.root-servers.net). Корневой сервер не знает точного IP-адреса, но возвращает список серверов, отвечающих за доменную зону верхнего уровня (TLD) — в данном случае .com.

1. Обращение к TLD-серверам. Резолвер выбирает один из серверов, управляющих зоной .com (например, a.gtld-servers.net), и запрашивает информацию о домене example.com. TLD-сервер возвращает список авторитетных серверов для этого домена (например, ns1.example.com).

1. Обращение к авторитетным серверам. Резолвер отправляет запрос к авторитетному серверу домена example.com. Этот сервер содержит точную запись (например, запись типа A или AAAA) и возвращает IP-адрес, соответствующий доменному имени.

1. Кеширование и ответ. Полученный IP-адрес сохраняется в кеше резолвера на время, указанное в поле TTL (Time to Live) записи. Затем резолвер передаёт результат клиенту.

Если на любом этапе возникает ошибка (например, домен не существует, сервер не отвечает), резолвер возвращает клиенту соответствующее сообщение об ошибке (например, NXDOMAIN).

Классификация рекурсивных резолверов

По типу управления

• Публичные резолверы — предоставляются сторонними организациями для общего пользования. Примеры: Google Public DNS (8.8.8.8), Cloudflare DNS (1.1.1.1), Quad9 (9.9.9.9), Яндекс.DNS (77.88.8.8).
• Частные (корпоративные) резолверы — развёртываются внутри организаций для обслуживания локальной сети. Обычно используются для кеширования, фильтрации трафика и обеспечения безопасности.
• Провайдерские резолверы — предоставляются интернет-провайдерами своим абонентам. Адреса часто назначаются автоматически через DHCP.

По функциональности

• Стандартные рекурсивные резолверы — выполняют только базовое разрешение имён.
• Резолверы с фильтрацией — блокируют доступ к определённым доменам (например, к сайтам с вредоносным ПО, фишингом, или нежелательным контентом). Примеры: Quad9 (блокирует известные вредоносные домены), Яндекс.DNS (имеет режимы «Безопасный» и «Семейный»).
• Резолверы с поддержкой DNSSEC — проверяют цифровые подписи DNS-записей для защиты от подмены данных (DNS-спуфинга). Примеры: Cloudflare DNS, Quad9.
• Резолверы с поддержкой DNS-over-HTTPS (DoH) и DNS-over-TLS (DoT) — шифруют запросы для защиты от перехвата и подмены трафика. Примеры: Google Public DNS, Cloudflare DNS, Яндекс.DNS.

История развития

Первые реализации рекурсивных резолверов появились в ранних версиях DNS в 1980-х годах. Изначально функция рекурсии была встроена в серверное программное обеспечение BIND (Berkeley Internet Name Domain), которое стало стандартом де-факто.

В 1990-х годах с ростом интернета возникла необходимость в масштабировании и кешировании. Резолверы начали активно использовать кеш для снижения нагрузки на корневые и TLD-серверы.

В 2000-х годах появились публичные резолверы, такие как OpenDNS (2006) и Google Public DNS (2009). Это позволило пользователям обходить медленные или ненадёжные резолверы провайдеров.

В 2010-х годах были разработаны протоколы шифрования DNS-трафика — DNS-over-TLS (RFC 7858, 2016) и DNS-over-HTTPS (RFC 8484, 2018). Крупные резолверы (Cloudflare, Google, Quad9) внедрили их поддержку.

В 2020-х годах акцент сместился на безопасность: внедрение DNSSEC, блокировка вредоносных доменов, защита от DDoS-атак на резолверы.

Устройство и характеристики

Типичный рекурсивный резолвер состоит из нескольких компонентов:

• Кеш — хранилище недавно разрешённых записей. Размер кеша может варьироваться от нескольких мегабайт до десятков гигабайт в зависимости от нагрузки.
• Модуль рекурсии — логика, управляющая последовательностью запросов к серверам.
• Модуль проверки DNSSEC — выполняет криптографическую верификацию подписей.
• Интерфейс для клиентов — принимает запросы по протоколам UDP (порт 53), TCP (порт 53), DoH (порт 443), DoT (порт 853).
• Система мониторинга и логирования — фиксирует запросы, ошибки, время ответа.

Ключевые характеристики резолвера:

• Время ответа — измеряется в миллисекундах. Зависит от сетевой задержки, загрузки сервера и размера кеша.
• Надёжность — способность обрабатывать запросы без сбоев. Обычно обеспечивается кластеризацией и географическим распределением.
• Пропускная способность — количество запросов в секунду (QPS). Публичные резолверы обрабатывают миллионы QPS.
• Уровень кеширования — процент запросов, которые обслуживаются из кеша без обращения к вышестоящим серверам. Обычно составляет 80–95%.

Применение

Рекурсивные резолверы используются во всех сценариях, где требуется преобразование доменных имён в IP-адреса:

• Веб-браузинг — каждый запрос к веб-сайту начинается с DNS-запроса.
• Электронная почта — разрешение MX-записей для доставки почты.
• Обновление программного обеспечения — клиенты обращаются к серверам обновлений по доменным именам.
• Устройства Интернета вещей (IoT) — датчики и умные устройства используют DNS для связи с облачными сервисами.
• VPN и прокси-серверы — для разрешения имён внутренних ресурсов.

Безопасность и уязвимости

Рекурсивные резолверы подвержены ряду атак:

• DNS-спуфинг (кеш-отравление) — злоумышленник подменяет ответ DNS-сервера, чтобы перенаправить трафик на вредоносный сайт. Защита: DNSSEC, случайные порты и идентификаторы запросов.
• DDoS-атаки — массовая отправка запросов с целью вывести резолвер из строя. Защита: ограничение скорости запросов, фильтрация трафика, использование CDN.
• DNS-амплификация — атака с использованием открытых резолверов для усиления трафика. Защита: ограничение рекурсии только для доверенных клиентов.
• Перехват трафика — злоумышленник может перехватывать незашифрованные DNS-запросы. Защита: использование DoH или DoT.

Регулирование в России

В Российской Федерации деятельность рекурсивных резолверов регулируется Федеральным законом № 149-ФЗ «Об информации, информационных технологиях и о защите информации». В соответствии с законом, операторы связи обязаны использовать DNS-серверы, обеспечивающие блокировку доступа к сайтам, внесённым в Единый реестр запрещённой информации. Публичные резолверы, не выполняющие блокировку, могут быть ограничены в доступе на территории РФ.

Интересные факты

• Крупнейший публичный рекурсивный резолвер — Cloudflare DNS (1.1.1.1) — обрабатывает более 400 миллиардов запросов в месяц.
• Первый публичный резолвер с поддержкой DNSSEC был запущен компанией OpenDNS в 2009 году.
• В 2023 году компания Google объявила, что Google Public DNS обрабатывает около 1 триллиона запросов в день.
• Протокол DNS-over-HTTPS (DoH) был разработан инженерами компании Cloudflare и Mozilla для защиты конфиденциальности пользователей.

Источники

• RFC 1034 — Domain Names — Concepts and Facilities (1987)
• RFC 1035 — Domain Names — Implementation and Specification (1987)
• RFC 8484 — DNS Queries over HTTPS (DoH) (2018)
• RFC 7858 — Specification for DNS over Transport Layer Security (TLS) (2016)
• «DNS and BIND» (5th edition), Cricket Liu, Paul Albitz (2006)
• Федеральный закон «Об информации, информационных технологиях и о защите информации» от 27.07.2006 № 149-ФЗ
• Документация Cloudflare DNS, Google Public DNS, Quad9