Co je vyhledávání DNS?

V tomto článku se zabýváme vyhledáváním DNS – co to je, jak funguje a jak ovlivňuje online soukromí a cenzuru.

Vyhledávání DNS označuje proces přiřazení URL, kterou zadáte do adresního řádku svého prohlížeče (čitelného doménového jména), k odpovídající IP adrese.

Všechna zařízení, která se připojují přímo k internetu, jsou identifikována číselným označením známým jako IP adresa. Aby to lidé měli jednodušší, lze tuto adresu identifikovat také pomocí čitelnějších a snadněji zapamatovatelných doménových jmen. Domain Name System (DNS) pak tato doménová jména mapuje na příslušné IP adresy.

Více informací o IP adresách

Například webové stránky Proton VPN používají doménové jméno protonvpn.com, které odpovídá IP adrese 185.159.159.140. Když do řádku pro URL adresu ve svém prohlížeči zadáte www.protonvpn.com, musí se doménové jméno převést na odpovídající IP adresu, aby mu počítače porozuměly.

Tento převod se provádí pomocí DNS. Když tedy zadáte protonvpn.com, DNS převede doménové jméno na IP adresu 185.159.159.140. To vašemu prohlížeči umožní najít správný web a připojit se k němu.

Doménová jména existují výhradně pro pohodlí lidí a pro fungování internetu nejsou vyžadována. Pokud byste si dokázali zapamatovat IP adresy, mohli byste je zadávat přímo. Chcete-li to vidět v praxi, jednoduše zadejte adresu 185.159.159.140 do adresního řádku svého prohlížeče a dostanete se na webové stránky Proton VPN.

• Jak funguje vyhledávání DNS
• DNS, cenzura a vládní dohled
• DNS služby třetích stran
• DNS a sítě VPN
• NetShield Ad-blocker
• Úniky DNS
• Běžné typy DNS záznamů
• Příkazy pro vyhledávání DNS
• Nástroje pro vyhledávání DNS

Jak vyhledávání DNS funguje

DNS se často přirovnává k telefonnímu seznamu, který propojuje doménová jména s příslušnými IP adresami. Jedná se o užitečnou analogii pro pochopení toho, co DNS dělá, ale skutečnost, jak funguje, je složitější.

DNS resolver

Když zadáte doménové jméno do adresního řádku svého prohlížeče, odešle se dotaz DNS na speciální server zvaný DNS resolver (také rekurzivní DNS server nebo jen DNS server).

Jak napovídá samotný název, DNS resolver „přeloží“ dotaz DNS tím, že vyhledá odpovídající IP adresu domény a odešle ji zpět do vašeho prohlížeče. Jakmile váš prohlížeč zná IP adresu webu, který chcete navštívit, může se k němu připojit.

Zatím je to jednoduché. Jak ale DNS resolver získá správnou DNS adresu pro doménu (což je proces komplikovaný tím, že neustále vznikají nové domény a IP adresy jsou doménám často přidělovány dynamicky, takže se pravidelně mění)?

Jak se překládá doména pomocí DNS

Vyhledávání DNS pro doménu nejvyšší úrovně(nové okno) (TLD) obvykle zahrnuje následující kroky:

1. Do adresního řádku svého prohlížeče zadáte protonvpn.com. Váš prohlížeč odešle tento dotaz přes internet na DNS resolver.

2. DNS resolver odešle dotaz na kořenový jmenný server DNS. Jedná se o server, který ukládá informace o doménách TLD (např. .com nebo .net nebo národních doménách jako .ch nebo .uk). Vzhledem k tomu, že náš dotaz byl (protonvpn.com), odkázal by kořenový jmenný server DNS na DNS resolver pro TLD „.com“.

3. S těmito informacemi se nyní DNS resolver dotáže jmenného serveru TLD .com, který spravuje seznam všech domén .com. Jmenný server TLD odpoví IP adresou autoritativního jmenného serveru dané domény.

4. DNS resolver se nyní může dotázat autoritativního jmenného serveru domény. Ten obvykle provozuje registrátor domén(nové okno) – společnost, která pronajímá a spravuje doménová jména (například GoDaddy nebo Namecheap). Autoritativní jmenný server je konečným zdrojem pravdivých informací o doméně a může vrátit její IP adresu zpět DNS resolveru (v našem případě to bude 185.159.159.140).

5. DNS resolver odešle správnou IP adresu do vašeho prohlížeče, který se nyní může připojit k adrese 185.159.159.140.

Ve skutečnosti je situace o něco složitější. Mnoho domén je například spojeno s několika IP adresami (včetně adres IPv4 i IPv6) a pokud navštívíte subdoménu (například blog.protonvpn.com), bude to vyžadovat další kroky.

Informace jsou také v průběhu celého procesu běžně ukládány do mezipaměti (lokálně ukládány) – vaším prohlížečem, DNS resolverem a různými jmennými servery. Pokud jsou požadované informace nalezeny v mezipaměti, požadavek se neodesílá, což vede k přeskočení některých kroků.

V podstatě takto však funguje DNS při běžné návštěvě webu.

DNS, cenzura a vládní dohled

Ve výchozím nastavení odesílá váš prohlížeč dotazy DNS na DNS resolver provozovaný vaším poskytovatelem internetových služeb (ISP). Váš ISP může používat různé metody, jak sledovat vaši aktivitu na internetu, ale zdaleka nejjednodušším (a nejlevnějším) způsobem je jednoduše monitorovat vaše dotazy DNS.

Většina vládních programů hromadného sledování vyžaduje, aby poskytovatelé ISP uchovávali logy o historii prohlížení svých zákazníků. A protože je to snadné a levné, většina poskytovatelů ISP plní tyto zákonné povinnosti tím, že uchovává pouze logy DNS.

Podobně když chtějí vlády cenzurovat internetový obsah ze sociálních, náboženských, politických nebo „morálních“ důvodů, žádají tuzemské poskytovatele ISP o vynucení těchto blokací. A nejjednodušším způsobem, jak toho dosáhnout, je blokovat dotazy DNS na konkrétní webové stránky a aplikace.

DNS služby třetích stran

Jedním ze způsobů, jak se vyhnout alespoň části této cenzury a dohledu, je použití DNS resolveru třetí strany, jako je například Cloudflare 1.1.1.1 nebo OpenNIC.

Některé z těchto služeb mohou mít dobré zásady ochrany osobních údajů, ale pokud připojení k serverům DNS resolveru nejsou šifrována pomocí DNS přes TLS (DoT) nebo DNS přes HTTPS (DoH), může váš ISP vidět požadavky v prostém textu, pokud se tak rozhodne.

Šifrování dotazů DNS ztěžuje (a tím pádem prodražuje) poskytovatelům ISP sledování vaší historie prohlížení, ale i tak mohou poměrně snadno vysledovat, ke kterým webům a aplikacím se připojujete, pokud chtějí.

DNS a sítě VPN

Při používání sítě VPN (například Proton VPN) je vaše připojení k serveru VPN šifrované. S určitým úsilím může váš ISP vidět, že jste se připojili k IP adrese patřící serveru VPN, ale to je vše.

Dotazy DNS jsou odesílány přes VPN tunel a překládány poskytovatelem VPN, který může provozovat svůj vlastní DNS resolver nebo používat VPN resolver třetí strany. To nemá žádný vliv na soukromí, protože se zdá, že dotazy DNS přicházejí ze serveru VPN, nikoli od uživatele VPN.

Zjistěte, jak funguje síť VPN

Stojí za zmínku, že při používání VPN není šifrované DNS potřeba, protože všechny dotazy DNS jsou stejně odesílány přes šifrovaný VPN tunel.

Spolu s VPN se také nedoporučuje používat DNS resolver třetí strany. Takové nastavení systému může způsobit, že vaše dotazy DNS budou odesílány mimo VPN tunel na DNS resolver třetí strany.

Přečtěte si více o únicích DNS

NetShield Ad-blocker

Proton VPN nabízí NetShield Ad-blocker ve všech našich aplikacích. Jedná se o funkci filtrování DNS, která blokuje dotazy DNS na domény, o nichž je známo, že patří reklamním společnostem, online sledovacím prvkům a malwaru. Funguje (stejně jako další podobné služby filtrování DNS) na úrovni DNS resolveru tak, že jednoduše nepřeloží dotazy DNS na domény ze seznamu blokovaných domén.

Zjistěte více o blokátoru reklam NetShield

Technicky se jedná o únik DNS (viz níže). Nemusí to být velký problém, pokud je dotaz DNS šifrovaný a důvěřujete resolveru DNS, ale do rovnice to vnáší zbytečnou třetí stranu (a tím i potenciální slabé místo).

Úniky DNS

Při používání VPN by měly být všechny dotazy DNS odesílány přes tunel VPN, aby je vyřešil poskytovatel VPN. Pokud je z jakéhokoli důvodu dotaz DNS odeslán mimo tunel VPN na resolver DNS třetí strany, došlo k úniku DNS. Selhání správného směrování požadavků DNS pro IPv6 přes tunel VPN je běžnou příčinou úniků DNS.

Vzhledem k tomu, že touto třetí stranou by pravděpodobně byl váš ISP, představují úniky DNS vážnou obavu o soukromí. Netřeba dodávat, že všechny aplikace Proton VPN mají silnou vestavěnou ochranu proti úniku DNS.

Běžné typy DNS záznamů

Zde jsou některé z klíčových typů DNS záznamů, které lze vyhledat:

• Záznam A (Address): Mapuje název domény na adresu IPv4. Příklad: example.com → 192.0.2.1
• Záznam AAAA (Quad A): Mapuje název domény na adresu IPv6. Příklad: example.com → 2001:0db8:85a3:0000:0000:8a2e:0370:7334
• Záznam CNAME (Canonical Name): Mapuje název domény na jiný název domény, čímž efektivně vytváří alias jednoho názvu na druhý. Příklad: www.example.com → example.com
• Záznam MX (Mail Exchange): Určuje e-mailové servery odpovědné za příjem e-mailů jménem domény. Příklad: example.com → mail.example.com (priorita 10 — číslo priority udává přednost, přičemž upřednostňovány jsou požadavky s nižší prioritou).
• Záznam PTR (Pointer): Mapuje IP adresu na název domény, používá se především pro reverzní vyhledávání DNS. Příklad: 192.0.2.1 → example.com
• Záznam NS (Name Server): Určuje autoritativní jmenné servery pro doménu. Příklad: example.com → ns1.example.com, ns2.example.com
• Záznam SOA (Start of Authority): Poskytuje důležité informace o doméně, včetně primárního jmenného serveru, e-mailu správce domény, sériového čísla domény (které pomáhá spravovat a synchronizovat data DNS mezi více servery DNS) a časovačů pro obnovení, opakování a vypršení platnosti (Příklad: example.com → ns1.example.com, admin.example.com, 2024041501)
• Záznam TXT (Text): Obsahuje libovolná textová data, často používaná pro ověření e-mailu (jako je SPF nebo DKIM) a další účely ověření. Příklad: example.com → “v=spf1 include:example.com ~all”
• Záznam SRV (Service): Určuje umístění serverů pro konkrétní služby, jako je protokol internetové telefonie SIP(nové okno), protokol pro zasílání zpráv XMPP(nové okno) atd. Příklad: _sip._tcp.example.com → 0 5 5060 sipserver.example.com
• Záznam CAA (Certification Authority Authorization): Určuje, které certifikační autority (CA) jsou oprávněny vydávat certifikáty pro doménu. Příklad: example.com → 0 issue “letsencrypt.org”
• Záznam NAPTR (Naming Authority Pointer): Používá se k překladu URL a definování pravidel přepisu pro různé služby, jako je VoIP. Příklad: example.com → 100 50 “s” “SIP+D2U” “” _sip._udp.example.com
• DNSKEY: Obsahuje veřejný podpisový klíč používaný v technologii DNSSEC (sada specifikací navržených k přidání další vrstvy zabezpečení do DNS).
• . Příklad: example.com → 256 3 13 …
• Záznam DS (Delegation Signer): Obsahuje hash záznamu DNSKEY pro zabezpečení delegování v DNSSEC. Příklad: example.com → 12345 13 2 …
• Záznam SPF (Sender Policy Framework): Slouží k definování toho, které IP adresy jsou oprávněny odesílat e-maily jménem domény. Příklad: example.com → “v=spf1 ip4:192.0.2.0/24 -all”

Příkazy pro vyhledávání v DNS

Příkazy DNS se používají k dotazování, testování a řešení problémů se servery a záznamy DNS. Tyto příkazy jsou pro správce sítě nezbytné k zajištění správného fungování služeb DNS, protože DNS je klíčový pro překlad názvů domén na IP adresy.

Níže jsou uvedeny některé běžně používané příkazy DNS. Tyto příkazy můžete spustit v okně terminálu (Linux), Terminálu (macOS), Příkazovém řádku (cmd) nebo PowerShellu (Windows), případně v aplikaci emulátoru terminálu na vašem mobilním zařízení. Ne všechny tyto příkazy musí být na vaší platformě k dispozici ihned po instalaci, ale téměř ve všech případech je lze snadno nainstalovat.

nslookup

Příkaz nslookup je nástroj pro dotazování DNS za účelem získání mapování názvů domén nebo IP adres. Můžete také určit konkrétní DNS server, který chcete použít, a provést reverzní vyhledávání DNS.

dig

Příkaz dig (Domain Information Groper) je výkonnější a flexibilnější nástroj pro vyhledávání IP adres v DNS než nslookup. Správci sítí jej často preferují kvůli jeho podrobnému výstupu a pokročilým možnostem.

Pomocí příkazu dig můžete také dotazovat konkrétní typ DNS záznamu, dotazovat konkrétní DNS server a provést reverzní vyhledávání DNS.

host

Příkaz host je dalším nástrojem pro provádění vyhledávání v DNS. Je jednodušší než dig, ale poskytuje dostatek informací pro základní úkoly, včetně dotazování konkrétního DNS serveru a provádění reverzních vyhledávání DNS.

ping

Příkaz ping se primárně používá ke kontrole dostupnosti hostitele v IP síti, ale v rámci své činnosti provádí také překlad DNS.

traceroute / tracert

Příkazy traceroute (v systémech Linux a macOS) a tracert (v systému Windows) se používají ke sledování cesty paketu od jeho zdroje k cíli. Překládají název domény na IP adresu a zobrazují každý uzel (hop) na cestě k cíli.

ipconfig / ifconfig

Příkazy ifconfig (v systémech Linux a macOS) a ipconfig (v systému Windows) lze použít k zobrazení konfigurace sítě, včetně serverů DNS, které systém používá. Pokud je příkaz použit samostatně, zobrazí pouze aktivní rozhraní. Chcete-li v systému Windows zobrazit všechna rozhraní, použijte příkaz ipconfig /all.

Nástroje pro vyhledávání v DNS

Kromě výše popsaných nástrojů příkazové řádky existuje mnoho online nástrojů pro vyhledávání v DNS, které poskytují grafické uživatelské rozhraní (GUI) pro dotazování DNS. Dobrým příkladem je náš bezplatný zabezpečený skener IP adres, který vám umožňuje provádět běžná vyhledávání DNS, vyhledávání MX, NS, CNAME a TXT záznamů.

Dokáže také provádět reverzní vyhledávání DNS (vyhledávání IP adres).

Závěrečné myšlenky

Ve své podstatě je DNS jen složitý, automatizovaný telefonní seznam. Umožňuje lidem internet vůbec používat, ale vlády jej mohou zneužívat (a také zneužívají) ke špehování svých občanů a cenzuře toho, co vidí. Nejlepším způsobem, jak toto zneužívání DNS obejít, je používat službu VPN, jako je například Proton VPN.

Služba VPN bezpečně vyřizuje vaše dotazy DNS namísto vašeho ISP a většina renomovaných služeb VPN považuje ochranu vašeho soukromí za svou prioritu.

VPN samozřejmě nabízí i mnoho dalších výhod, jako je skrytí vaší skutečné IP adresy před navštěvovanými webovými stránkami, poskytování zvýšené ochrany před tím, aby ISP mohli sledovat nebo cenzurovat vaši internetovou aktivitu, možnost streamovat váš oblíbený obsah při cestování a další.

Zjistěte více o výhodách používání VPN