DNS

DNS eli Domain Name System on Internetin nimipalvelujärjestelmä, joka muuntaa verkkotunnuksia IP-osoitteiksi. Internetin laitteet kommunikoivat keskenään numeeristen osoitteiden avulla, joiden muistaminen sellaisenaan olisi hankalaa. Nimipalvelun ansiosta niiden sijasta voidaan käyttää helpommin muistettavia nimiä. Nimipalvelun toinen tärkeä tehtävä on sähköpostin reititys.

Nimipalvelun toteuttavia palvelintyyppejä on kaksi.

 Nimipalvelukyselyihin vastauksia hakevat koneet eli resolverit.
 Nimipalvelukyselyihin vastauksia antavat koneet eli auktoritatiiviset nimipalvelimet.

Nimipalvelun historia 

Tietokoneita on nimetty niiden keksimisestä lähtien, samoin tietoverkkoja. DNS on rakennettu tukemaan IP-protokollaa käyttäviä verkkoja ja nimipalvelun kannalta on epäolennaista kuinka nimet toimivat muissa verkoissa.

IP-verkon alkuaikana osoitteille annettiin nimiä ainoastaan hosts-tiedostossa, jonka kopiota jaettiin koneiden välillä. Laitekannan kasvaessa menetelmä ei ollut käytännöllinen, ja vuonna 1983 Jon Postel pyysi Paul Mockapetrisiä ratkaisemaan nimiin liittyvän ongelman. Alkuperäinen nimipalvelun määritelmä löytyy dokumenteista  ja . Vuonna 1987 nimipalvelun määritelmiä päivitettiin - ja  -dokumenteissa, jolloin muodostui nykyisen nimipalvelun perusta.

Nimipalvelua kehitetään edelleen. Vuosien aikana nimipalveluun on lisätty tietoturvaa tukevia tietotyyppejä, sen dynaamisuutta on paranneltu ja määrityksiä täsmennetty.

Ensimmäinen nimipalvelusovellus oli Paul Mockapetrisin luoma JEEVES. Myöhemmin Berkeleyn opiskelijat Douglas Terry, Mark Painter, David Riggle ja Songnian Zhou kirjoittivat sovelluksen uusiksi, ja antoivat sille nimeksi Berkeley Internet Name Domain eli BIND.

Verkkotunnus nimipalvelussa 

Verkkotunnuksen osat erotetaan toisistaan pisteellä. Yleensä osat kirjoitetaan järjestyksessä spesifisemmästä laajempaan vasemmalta oikealle, eli juuresta katsottuna oikealta vasemmalle. Ensimmäisen tason verkkotunnus on juuri, joka on pelkkä piste. Juuresta seuraavan tason tunnuksia nimitetään ylätason verkkotunnuksiksi (Top-Level Domain eli TLD). Kaikki ylätason verkkotunnukset ovat säädeltyjä, ja lähes kaikilla ylätason verkkotunnuksilla on oma, erillinen rekisterinsä.

Ylätason verkkotunnuksia on kahta päätyyppiä, maatunnuksia (Country Coded TLD eli ccTLD) ja yleisluontoisia tunnuksia (Generic TLD eli gTLD). Esimerkiksi Suomessa käytettävä maatunnus on fi. Yleisluontoisia puolestaan ovat .com, .org ja .net. Ylätason verkkotunnuksen haltija, Suomessa esimerkiksi Traficom, jakelee edelleen hallinnoimansa ylätason tunnuksen aliverkkotunnukset. Ylätason aliverkkojen kaksiosaisia tunnuksia – esimerkiksi wikipedia.org – kutsutaan verkkotunnuksiksi.

Verkkotunnuksen ylläpitäjä voi edelleen tehdä omalle verkkotunnukselleen aliverkkotunnuksia. Tällainen on esimerkiksi dhcp.inet.fi, jonka alla olevat verkkotunnukset ovat samassa laajakaistaverkossa olevien koneiden tunnuksia.

Verkkotunnuksia IP-osoitteisiin puhelinluettelon tavoin liittävän nimipalvelun lisäksi on olemassa käänteisnimipalvelu, jonka avulla saadaan selville IP-osoitetta vastaava verkkotunnus. Käänteisosoitteiden juuri on in-addr.arpa. Osoitteet muistuttavat tavanomaisia verkkotunnuksia. Merkittävin ero on se, että niihin viitataan eri tietotyypillä kuin tavallisiin nimiin. Käänteisverkkotunnuksen saa palveluntarjoajalta tai Internet-rekisteristä. Euroopan alueella Internet-rekisteri on RIPE.

ISC:n mukaan tammikuussa 2017 internetissä oli 1 062 660 523 nimeä DNS-järjestelmässä.

Verkkotunnuksella voi olla useita osoitteita nimipalvelussa esimerkiksi kuormituksen tasaamisen vuoksi (ks. , ).

Resolverit 

Arkikielessä nimipalvelimilla tarkoitetaan usein ainoastaan resolvereja, jotka määritellään Internetin tietokoneille staattisesti tai DHCP:n avulla. Tavallisesti resolvereita määritellään kaksi tai useampia.

Resolvereiden tärkein tehtävä on etsiä vastauksia nimipalvelukyselyihin. Resolverit tallettavat vastauksia välimuistiin, millä vältetään rekursio silloin, kun jotain nimeä kysytään usein. Tämä parantaa resolvereiden tehokkuutta.

Resolverin rekursio selvittää, onko kysytty nimi tai sen osa välimuistissa. Mikäli koko nimi on välimuistissa, eikä vanhentunut, se palautetaan ilman rekursiota. Mikäli
vain nimen vähemmän merkitsevä osa on välimuistissa, tehdään ulossuuntautuvia kyselyjä, jotta resolveri pystyy kertomaan pyydetyn tiedon. Samalla se myös tallennetaan välimuistiin. Jos välimuisti on tyhjä, resolveri käyttää vihjetiedostoa, jonne juurinimipalvelimet on merkitty, ja ryhtyy sen kautta täyttämään välimuistiaan.

Resolveri ei saa pitää välimuistissaan tietoja kauempaa kuin nimipalveluun on määritelty. Välimuistissapitämisaikaa (Time to Live eli TTL) säätelevät autoritääristen nimipalvelimien (katso alempana) ylläpitäjät. Käytössä olevan resolverin olisi syytä olla verkossa mahdollisimman lähellä ja tehokkaalla koneella, jotta nimipalvelun käyttötuntuma olisi nopea.

Resolverin tulisi vastata ainoastaan sen organisaation kyselyihin jonka käytössä kone on.

Autoritääriset nimipalvelimet 

Autoritääriset nimipalvelimet vastaavat resolvereiden tekemiin kyselyihin. Verkkotunnuksen suhteen vähemmän merkitsevät nimipalvelimet kuten juurinimipalvelimet eivät tiedä lopullista vastausta, mutta tietävät millä nimipalvelimilla enemmän merkitsevä verkkotunnus sijaitsee. Tämä synnyttää rekursion.

Juuri- ja TLD-nimipalvelimia ylläpidetään ammattimaisesti ja ne on hajautettu Jokulähetys (anycast) -tekniikalla. Nimipalvelusisällön TLD-nimipalvelimet saavat verkkotunnusrekisteristä. Kolmannen tason verkkotunnuksille, kuten example.com, auktoritatiiviset nimipalvelimet määrittelee verkkotunnuksen rekisteröijä. Kolmannen tason autoritääriset nimipalvelimet voivat olla enemmän tai vähemmän ammatillisesti ylläpidettyjä.

Jokaisella verkkotunnuksella tulisi olla vähintään kaksi autoritääristä nimipalvelinosoitetta. Osoitteita voi olla enemmän kuin kaksi, ja niitä voi hajauttaa fyysisesti useisiin paikkoihin Jokulähetyksen tai kuormantasaajan avulla. Yhden autoritäärisistä nimipalvelimista täytyy olla master, joka jakaa muille verkkotunnuksesta kopion. Kopioita vastaanottavien koneiden nimi on slave. Verkkotunnuksen kopion siirtymistä masterilta slavelle kutsutaan nimellä zone transfer, joka on tavanomaisesti rajoitettu ainoastaan koneille, jotka ovat nimipalvelimen pääsylistalla tai pitävät hallussaan TSIG-avainta.

Autoritääriset nimipalvelimet voivat ottaa päivityksiä vastaan asiakaskoneilta. Tekniikka, jolla päivitykset toteutetaan, on nimeltään dynaaminen DNS (DynDNS). Päivitysten tarkoituksena on asettaa nimi- ja IP-pareja asiakaskoneen pyynnöstä vastaamaan toisiaan.

Autoritäärisille nimipalvelimille voidaan tehdä eri näkymiä (view) eri verkko-osoitteista, tai osoiteavaruuksista, tuleville kyselyille. Näkymien avulla nimipalvelun ylläpitäjä voi joustavasti ohjailla liikennettä. Ellei näkymien käytön kanssa ole varuillaan niillä voi aiheuttaa outoja ongelmia.

Autoritääristen nimipalvelimien on vastattava kaikkialta Internetistä tuleviin kyselyihin.

Tietueet 

Nimipalvelun sisältötieto kulkee tietueiden välityksellä. Nimipalvelun kannalta verkkotunnus on tietue siinä missä nimi-ip-pari. Yleisimmin tarvittuja tietueita ovat:

Tietueissa sallittuja merkkejä ovat kirjaimet, numerot ja yhdysviiva. Pienet sekä isot kirjaimet tarkoittavat samaa ja muut merkit eivät ole sallittuja. Poikkeuksen muodostaa NAPTR-tietue, jossa on sallittu alaviiva ja tietuesisällössä säännölliset lausekkeet. Toinen poikkeus on SRV-tietue, jossa on sallittu alaviivan käyttö.

Seuraavat tietueet ovat verrattaen uusia:

Resolveri voi tehdä myös ANY-kyselyn, joka ei ole varsinaisesti tietue. Tehtäessä ANY-kysely vastaus sisältää kaikki tietueet jotka liittyvät nimeen. Vastaavasti autoritäärisille nimipalvelimille voidaan määritellä tähtitietue (wildcard), joka muuntaa verkkotunnuksen määrittelemättömät nimet vastaukseksi joka tähtitietueeseen on määritelty. Kolmas yleisesti tiedossa oleva melkein tietue, on SPF (Sender Policy Framework) joka määritellään TXT-tietueen sisällöksi.

Suojaaminen 
DNS-tietojen varmistamiseen ja suojaamiseen väärentämisen estämiseksi on kehitetty tekniikoita kuten DNSSEC ja DNS over TLS, joista jälkimmäinen käyttää TLS-kerrosta.

Lähteet

Aiheesta muualla 

Seulonnan keskeiset artikkelit
Nimipalvelujärjestelmä
TCP/IP