Mikä on DNS?

DNS-kysely käy läpi useita vaiheita. Jos IP-osoite löytyy jo ennestään tietokoneen välimuistista, DNS-kyselyä ei tarvitse tehdä. Tietokone tallentaa IP-osoitteen välimuistiin, kun vierailet sivulla ensimmäisen kerran, jotta DNS-kysely voidaan myöhemmillä kerroilla ohittaa. Jos vierailet sivulla ensimmäistä kertaa, etenee DNS-kysely seuraavalla tavalla.

DNS-ratkaisija

Saapuvat DNS-kyselyt siirretään ensimmäisenä rekursiiviselle nimipalvelimelle, joka tunnetaan myös nimellä DNS-ratkaisija (engl. DNS resolver). Kyseessä on nimipalvelin, jota internet-palveluntarjoajasi käyttää. Ensimmäisenä rekursiivinen nimipalvelin tarkistaa, löytyykö siltä suoraan haettu IP-osoite. Jos IP-osoitetta ei löydy, siirtyy DNS-kysely eteenpäin jollekin juurinimipalvelimista. 

DNS-ratkaisijaa on kuin kirjastonhoitaja, joka etsii sinulle pyytämäsi kirjan. 

Rekursiivinen nimipalvelin vastaa pyyntöön ja etsii tarvittavat DNS-tiedot. Joskus DNS-tietojen löytämiseksi tarvitaan useita kyselyjä. 

Juurinimipalvelin

Juuripalvelimet hallitsevat ylätason verkkotunnuksia (engl. top-level domain, TLD), kuten .com. Juuripalvelimia on olemassa 13 sarjaa ja niitä hallinnoi 12 eri organisaatiota. Nämä palvelimet käyttävät maailmanlaajuisesti hajautettua laitteistoa, jotta kaikki saapuvat DNS-kyselyt voidaan käsitellä nopeasti.

Kun DNS-ratkaisija lähettää pyynnön juurinimipalvelimelle, se ei vastaa suoraan halutulla IP-osoitteella, vaan ohjaa pyynnön kyseisen ylätason verkkotunnuksen nimipalvelimelle.

Ylätason verkkotunnuksen nimipalvelin

Juuripalvelimen avulla DNS-ratkaisija pyytää tarvittavan IP-osoitteen ylätason verkkotunnuksen nimipalvelimelta (engl. Top-level Domain Name Server). Tässä tapauksessa se on .com, kun luet tätä artikkelia osoitteessa www.one.com. 

Ylätason verkkotunnuksen nimipalvelin on kuin kirjaston hyllyluokka, esimerkiksi romantiikka. 

Ylätason verkkotunnuksen nimipalvelin tallentaa kaikki ylätason verkkotunnusten osoitetiedot. Kun DNS-ratkaisija lähettää IP-osoitekyselyn one.comista, ei ylätason verkkotunnuksen DNS-palvelin tiedä sen IP-osoitetta, jolloin se jälleen kerran ohjaa kyselyn eteenpäin. Ylätason verkkotunnuksen DNS-palvelin ohjaa DNS-ratkaisijan valtuutetulle nimipalvelimelle, mikä on DNS-kyselyn viimeinen vaihe.

Valtuutettu nimipalvelin

DNS-ratkaisija pyytää nyt one.comin IP-osoitetta valtuutetulta nimipalvelimelta (engl. authoritative name server), joka sisältää virallisen luettelon IP-osoitteista ja niitä vastaavista URL-osoitteista. Valtuutetut nimipalvelimet ovat vastuussa kaikista verkkotunnuksiin liittyvistä tiedoista. Luetteloa päivitetään aina, kun joku ostaa ja rekisteröi uuden verkkotunnuksen. 

Valtuutettu nimipalvelin on viimeinen askel DNS-kyselyssä. Siltä voidaan pyytää halutun nettisivun IP-osoite, jota tarvitaan nettisivulle pääsemiseen. 

Kun valtuutettu nimipalvelin saa DNS-pyynnön, se vastaa siihen one.com-sivuston IP-osoitteella. DNS-ratkaisija välittää tämän tiedon tietokoneellesi ja sen jälkeen pääset vierailemaan one.com-sivustolla. 

Nämä tiedot tallennetaan sekä tietokoneesi että DNS-ratkaisijan välimuistiin, jotta seuraava vierailu samalla sivustolle olisi nopeampi. Jos tietokone tunnistaa jo kyseisen sivun IP-osoitteen tai saa sen haettua suoraan DNS-ratkaisijalta, kaikkia edellä kuvattuja DNS-kyselyn vaiheita ei tarvita.

Mikä on käyttämäni DNS-palvelin?

Internet-palveluntarjoajasi luo automaattisesti DNS-palvelimen, kun muodostat ensimmäistä kertaa yhteyden nettiin. Jos haluat tietää oman verkkoyhteytesi tiedot, voit selvittää ne erilaisten sivustojen avulla. Esimerkiksi Browserleaks.com-sivustolla voit selvittää oman DNS-palvelimesi. 

Jos sinulla on ongelmia DNS-palvelimesi kanssa, kannattaa lukea artikkelimme siitä, miten voit ratkaista DNS-ongelmat.

Hyvä tietää

Verkossa on aina tärkeää suojautua mahdollisilta hakkereilta ja kyberhyökkäyksiltä. Alla kerromme joistakin DNS-hyökkäyksistä, joista on hyvä olla tietoinen. 

• DNS-heijastushyökkäykset

DNS-heijastushyökkäyksessä (engl. DNS reflection attacks) hyökkäyksen uhri saa suuren määrän viestejä DNS-ratkaisijan palvelimilta. Hyökkääjät etsivät suuria DNS-tiedostoja avoimena olevilta DNS-ratkaisija palvelimilta, ja käyttävät siinä uhrin IP-osoitetta. Kun DNS-ratkaisija vastaa pyyntöön, uhri saa liian monta DNS-tietoa, mikä ylikuormittaa hänen tietokoneensa.

• DNS-välimuistin myrkytys

DNS-välimuistin myrkytys (engl. DNS cache poisoning) voi viedä käyttäjän haitalliselle sivustolle. Hyökkääjät tekevät tämän viemällä DNS:ään vääriä osoitetietoja. Kun uhri pyytää IP-osoitetta jollekin näistä myrkytetyistä sivustoista, DNS vastaa hyökkääjän hallitseman sivuston IP-osoitteella. Hyökkääjien valesivustot voivat yrittää saada uhrilta esimerkiksi tämän salasanoja tai muita tietoja.

• DNS-resurssien uuvutus

DNS-resurssien uuvutus (engl. DNS resource exhaustion) on hyökkäys, joka kohdistuu internet-palveluntarjoajan infrastruktuuriin. Hyökkäyksen takia tietyn palveluntarjoajan asiakkaat eivät voi vierailla haluamillaan sivustoilla. Hyökkäyksessä uhrin nimipalvelinta käytetään verkkotunnuksen valtuutettuna nimipalvelimena, jolloin valtava määrä DNS-kyselyjä tukkii kyseisen nimipalvelimen.

DNS-suojaus

Verkkotunnuksia säätelevä ICANN (Internet Corporation for Assigned Names and Numbers) on kehittänyt DNS-suojauksen varmistaakseen, että liikenne eritason DNS-kyselyjen välillä olisi turvatumpaa. 

DNSSec varmistaa, että hyökkääjät eivät pääse häiritsemään tai viemään DNS-kyselyn tietoja, joita he voisivat käyttää tietojenkalasteluyrityksiin. DNSSec-prosessissa jokaisen DNS-kyselyä käsittelevän tason on vahvistettava digitaalisella allekirjoituksella, ettei hyökkääjä hallitse pyyntöä.