I denne artikkelen diskuterer vi DNS-oppslag – hva de er, hvordan de fungerer, og hvordan de påvirker personvern på nett og sensur.
Et DNS-oppslag refererer til prosessen med å koble URL-en du angir i nettleserens adresselinje (det lesbare domenenavnet), til den tilsvarende IP-adressen.
Alle enheter som kobler seg direkte til internett, identifiseres av en numerisk etikett kjent som en IP-adresse. For å gjøre ting enklere for oss mennesker kan denne adressen også identifiseres ved hjelp av mer lesbare og lettvinte domenenavn. Domain Name System (DNS) kobler disse domenenavnene til de tilsvarende IP-adressene.
For eksempel bruker Proton VPN-nettstedet domenenavnet protonvpn.com, som tilsvarer IP-adressen 185.159.159.140. Når du skriver www.protonvpn.com i nettleserens URL-felt, må domenenavnet konverteres til den tilsvarende IP-adressen for at datamaskiner skal forstå det.
Denne konverteringen utføres ved hjelp av DNS. Så når du skriver inn protonvpn.com, konverterer DNS domenenavnet til IP-adressen: 185.159.159.140. Dette gjør at nettleseren din kan finne og koble til det riktige nettstedet.
Domenenavn eksisterer utelukkende av praktiske hensyn for mennesker og er ikke nødvendige for at internett skal fungere. Hvis du kunne huske IP-adresser, kunne du skrevet dem inn direkte. For å se dette i praksis kan du ganske enkelt angi 185.159.159.140 i nettleserens URL-felt, og det vil ta deg til Proton VPN-nettstedet.
- Hvordan et DNS-oppslag fungerer
- DNS, sensur og statlig overvåking
- Tredjeparts DNS-tjenester
- DNS og VPN-er
- NetShield Ad-blocker
- DNS-lekkasjer
- Vanlige DNS-posttyper
- Kommandoer for DNS-oppslag
- Verktøy for DNS-oppslag
Hvordan et DNS-oppslag fungerer
DNS sammenlignes ofte med en telefonkatalog som kryssrefererer domenenavn og de tilsvarende IP-adressene. Dette er en nyttig analogi for å forstå hva DNS gjør, men virkeligheten bak hvordan det fungerer, er mer kompleks.
DNS-resolver
Når du angir et domenenavn i nettleserens URL-felt, sendes en DNS-spørring til en spesiell tjener kalt en DNS-resolver (også kalt DNS-recursor eller bare DNS-tjener).
Som navnet antyder, «løser» DNS-resolveren DNS-spørringen ved å hente domenets tilsvarende IP-adresse og sende den tilbake til nettleseren din. Nå som den kjenner IP-adressen til nettstedet du vil besøke, kan nettleseren din koble seg til det.
Så langt, så enkelt. Men hvordan henter DNS-resolveren den riktige DNS-adressen for et domene (en prosess som kompliseres av at nye domener opprettes hele tiden, og at IP-adresser ofte tildeles dynamisk til domener og derfor endres regelmessig)?
Hvordan et domene oversettes med DNS
Et DNS-oppslag for et toppnivådomene(nytt vindu) (TLD) involverer vanligvis følgende trinn:
1. Du skriver protonvpn.com i nettleserens URL-felt. Nettleseren din sender denne spørringen over internett til en DNS-resolver.
2. DNS-resolveren sender en spørring til en DNS-rotnavnetjener. Dette er en tjener som lagrer informasjon om TLD-er (som .com eller .net, eller landskode-TLD-er som .ch eller .uk). Siden spørringen vår var (protonvpn.com), vil DNS-rotnavnetjeneren peke på DNS-resolveren for «.com»-TLD-er.
3. Rustet med denne informasjonen vil DNS-resolveren nå sende en spørring til .com-TLD-navnetjeneren, som opprettholder en liste over alle .com-domener. TLD-navnetjeneren svarer med IP-adressen til domenets autoritative navnetjener.
4. DNS-resolveren kan nå sende en spørring til domenets autoritative navnetjener. Denne drives vanligvis av en domenenavnregistrator(nytt vindu) – en virksomhet som leier ut og administrerer domenenavn (som GoDaddy eller Namecheap). Den autoritative navnetjeneren er den endelige kilden til sannhet om domenet og kan returnere IP-adressen til DNS-resolveren (i vårt tilfelle vil dette være 185.159.159.140).
5. DNS-resolveren sender den riktige IP-adressen til nettleseren din, som nå kan koble seg til 185.159.159.140.
I virkeligheten er situasjonen litt mer komplisert. For eksempel er mange domener knyttet til flere IP-adresser (inkludert både IPv4- og IPv6-adresser), og det vil være ytterligere trinn hvis du besøker et underdomene (som blog.protonvpn.com).
Informasjon blir også rutinemessig lagret i hurtigbufferen (lagret lokalt) i alle stadier av prosessen – av nettleseren din, av DNS-resolveren og av de ulike navnetjenerne. Hvis den nødvendige informasjonen finnes i en hurtigbuffer, sendes det ikke en forespørsel, noe som fører til at noen trinn hoppes over.
Men i bunn og grunn er det slik DNS fungerer for et ganske vanlig besøk på et nettsted.
DNS, sensur og statlig overvåking
Som standard sender nettleseren din DNS-spørringene dine til en DNS-resolver som drives av din internettleverandør (ISP). Internettleverandøren din kan bruke ulike metoder for å se hva du gjør på internett, men den desidert enkleste (og billigste) måten er å ganske enkelt overvåke DNS-spørringene dine.
De fleste statlige programmer for masseovervåking baserer seg på å kreve at internettleverandører fører logg over kundenes nettleserhistorikk. Og fordi det er enkelt og billig, oppfyller de fleste internettleverandører disse juridiske forpliktelsene ved å kun beholde DNS-logger.
På samme måte, når myndigheter ønsker å sensurere internettinnhold av sosiale, religiøse, politiske eller «moralske» grunner, ber de innenlandske internettleverandører om å håndheve disse blokkeringene. Og den enkleste måten å gjøre dette på er å blokkere DNS-spørringer til spesifiserte nettsteder og apper.
Tredjeparts DNS-tjenester
Én måte å unngå i det minste noe av denne sensuren og overvåkingen på er å bruke en tredjeparts DNS-resolver, som Cloudflare 1.1.1.1 eller OpenNIC.
Noen av disse tjenestene kan ha gode personvernregler, men med mindre tilkoblinger til DNS-resolver-tjenerne er kryptert med DNS over TLS (DoT) eller DNS over HTTPS (DoH), kan internettleverandøren din se forespørslene i ren tekst dersom den velger å se etter.
Kryptering av DNS-spørringer gjør det vanskeligere (og dermed dyrere) for en internettleverandør å overvåke nettleserhistorikken din, men den kan fortsatt ganske enkelt spore hvilke nettsteder og apper du kobler deg til, hvis den ønsker det.
DNS og VPN-er
Når du bruker et VPN (som Proton VPN), er tilkoblingen din til VPN-serveren kryptert. Med litt innsats kan internettleverandøren din se at du har koblet til en IP-adresse som tilhører VPN-serveren, men det er alt.
DNS-spørringer sendes gjennom VPN-tunnelen og løses av VPN-leverandøren, som kan drive sin egen DNS-resolver eller bruke en tredjeparts VPN-resolver. Dette har ingen personvernkonsekvenser siden DNS-spørringene ser ut til å komme fra VPN-serveren, ikke VPN-brukeren.
Finn ut hvordan et VPN fungerer
Det er verdt å merke seg at det ikke er behov for kryptert DNS når du bruker et VPN, ettersom alle DNS-spørringer uansett sendes gjennom den krypterte VPN-tunnelen.
Det anbefales heller ikke å bruke en tredjeparts DNS-resolver sammen med et VPN. Å konfigurere systemet ditt på denne måten kan føre til at DNS-spørringene dine sendes utenfor VPN-tunnelen til tredjeparts DNS-resolveren.
NetShield Ad-blocker
Proton VPN tilbyr NetShield Ad-blocker i alle appene våre. Dette er en DNS-filtreringsfunksjon som blokkerer DNS-spørringer til domener som er kjent for å tilhøre reklameselskaper, nettsporere og skadelig programvare. Den (og andre lignende DNS-filtreringstjenester) fungerer på DNS-resolver-nivå ved ganske enkelt å la være å løse DNS-spørringer til blokkerte domener.
Finn ut mer om NetShield Ad-blocker
Teknisk sett utgjør dette en DNS-lekkasje (se nedenfor). Dette er kanskje ikke et stort problem hvis DNS-spørringen er kryptert og du stoler på DNS-behandleren, men det introduserer en unødvendig tredjepart (og dermed et potensielt svakhetspunkt) i ligningen.
DNS-lekkasjer
Når du bruker et VPN, bør alle DNS-spørringer sendes gjennom VPN-tunnelen for å bli løst av VPN-leverandøren. Hvis DNS-spørringen av en eller annen grunn sendes utenfor VPN-tunnelen til en tredjeparts DNS-behandler, har det oppstått en DNS-lekkasje. Manglende evne til å rute IPv6 DNS-forespørsler på riktig måte gjennom VPN-tunnelen er en vanlig årsak til DNS-lekkasjer.
Siden denne tredjeparten sannsynligvis vil være internettleverandøren din, er DNS-lekkasjer en alvorlig personvernbekymring. Det sier seg selv at alle Proton VPN-apper har sterk innebygd beskyttelse mot DNS-lekkasje.
Vanlige DNS-posttyper
Her er noen av de viktigste DNS-posttypene som kan slås opp:
- A-post (adresse): Knytter et domenenavn til en IPv4-adresse. Eksempel: example.com → 192.0.2.1
- AAAA-post (Quad A): Knytter et domenenavn til en IPv6-adresse. Eksempel: example.com → 2001:0db8:85a3:0000:0000:8a2e:0370:7334
- CNAME-post (kanonisk navn): Knytter et domenenavn til et annet domenenavn, noe som i praksis gir et alias fra ett navn til et annet. Eksempel: www.example.com → example.com
- MX-post (e-postveksler): Spesifiserer e-posttjenerne som er ansvarlige for å motta e-post på vegne av et domene. Eksempel: example.com → mail.example.com (prioritet 10 – prioritetsnummeret indikerer preferanse, der forespørsler med lavere prioritetsnummer foretrekkes).
- PTR-post (peker): Knytter en IP-adresse til et domenenavn, og brukes primært til omvendte DNS-oppslag. Eksempel: 192.0.2.1 → example.com
- NS-post (navnetjener): Spesifiserer de autoritative navnetjenerne for et domene. Eksempel: example.com → ns1.example.com, ns2.example.com
- SOA-post (Start of Authority): Gir viktig informasjon om domenet, inkludert den primære navnetjeneren, e-posten til domeneadministratoren, domenets serienummer (som hjelper til med å administrere og synkronisere DNS-data på tvers av flere DNS-tjenere), samt tidsinnstillinger for oppdatering, nytt forsøk og utløp (Eksempel: example.com → ns1.example.com, admin.example.com, 2024041501)
- TXT-post (tekst): Inneholder vilkårlige tekstdata, ofte brukt til e-postvalidering (som SPF eller DKIM) og andre verifiseringsformål. Eksempel: example.com → «v=spf1 include:example.com ~all»
- SRV-post (tjeneste): Spesifiserer plasseringen av tjenere for spesifikke tjenester, som internettelefoniprotokollen SIP(nytt vindu), meldingsprotokollen XMPP(nytt vindu) osv. Eksempel: _sip._tcp.example.com → 0 5 5060 sipserver.example.com
- CAA-post (Certification Authority Authorization): Spesifiserer hvilke sertifiseringsinstanser (CA-er) som har tillatelse til å utstede sertifikater for et domene. Eksempel: example.com → 0 issue «letsencrypt.org»
- NAPTR-post (Naming Authority Pointer): Brukes til nettadresseoppslag og definering av omskrivingsregler for ulike tjenester som VoIP. Eksempel: example.com → 100 50 «s» «SIP+D2U» «» _sip._udp.example.com
- DNSKEY: Inneholder den offentlige signeringsnøkkelen som brukes i DNSSEC (en samling spesifikasjoner utviklet for å legge til et ekstra sikkerhetslag for DNS).
- . Eksempel: example.com → 256 3 13 …
- DS-post (Delegation Signer): Inneholder hashen til en DNSKEY-post for å sikre delegasjoner i DNSSEC. Eksempel: example.com → 12345 13 2 …
- SPF-post (Sender Policy Framework): Brukes til å definere hvilke IP-adresser som er autorisert til å sende e-post på vegne av et domene. Eksempel: example.com → «v=spf1 ip4:192.0.2.0/24 -all»
Kommandoer for DNS-oppslag
DNS-kommandoer brukes til å spørre, teste og feilsøke DNS-tjenere og -poster. Disse kommandoene er avgjørende for nettverksadministratorer for å sikre at DNS-tjenester fungerer som de skal, ettersom DNS er avgjørende for å koble domenenavn til IP-adresser.
Nedenfor finner du noen vanlige DNS-kommandoer. Du kan kjøre disse kommandoene i et terminalvindu (Linux), Terminal (macOS), ledetekst (cmd) eller PowerShell (Windows), eller til og med i en terminalemulator-app på mobilenheten din. Det er ikke sikkert at alle disse kommandoene er tilgjengelige «rett ut av esken» på plattformen din, men i nesten alle tilfeller er de enkle å installere.
nslookup
Kommandoen nslookup er et verktøy for å spørre DNS for å hente koblinger mellom domenenavn og IP-adresser. Du kan også spesifisere en bestemt DNS-tjener som skal brukes, og utføre et omvendt DNS-oppslag.
dig
Kommandoen dig (Domain Information Groper) er et mer kraftfullt og fleksibelt verktøy for DNS-IP-oppslag enn nslookup. Nettverksadministratorer foretrekker det ofte på grunn av det detaljerte resultatet og de avanserte alternativene.
Med dig kan du også spørre etter en bestemt DNS-posttype, spørre en bestemt DNS-tjener og utføre et omvendt DNS-oppslag.
host
Kommandoen host er et annet verktøy for å utføre DNS-oppslag. Den er enklere enn dig, men gir tilstrekkelig informasjon for grunnleggende oppgaver, inkludert å spørre en bestemt DNS-tjener og utføre omvendte DNS-oppslag.
ping
Kommandoen ping brukes primært til å kontrollere en verts tilgjengelighet på et IP-nettverk, men den utfører også DNS-oppslag som en del av prosessen.
traceroute / tracert
Kommandoene traceroute (på Linux og macOS) og tracert (på Windows) brukes til å spore banen til en pakke, fra kilde til destinasjon. Den oversetter domenenavnet til en IP-adresse og viser hvert hopp på veien til destinasjonen.
ipconfig / ifconfig
Kommandoene ifconfig (på Linux og macOS) og ipconfig (på Windows) kan brukes til å vise nettverkskonfigurasjonen, inkludert DNS-tjenerne som systemet bruker. Når den brukes alene, viser den bare aktive grensesnitt. For å se alle grensesnitt på Windows, bruker du ipconfig /all.
Verktøy for DNS-oppslag
I tillegg til kommandolinjeverktøy som de som er nevnt ovenfor, finnes det many DNS-oppslagsverktøy på nett som tilbyr et grafisk brukergrensesnitt (GUI) for å spørre DNS. Et godt eksempel er vår gratis, sikre IP-skanner, som lar deg utføre vanlige DNS-oppslag, MX-oppslag, NS-oppslag, CNAME-oppslag og TXT-oppslag.
Den kan også utføre omvendte DNS-oppslag (IP-oppslag).
Avsluttende tanker
I bunn og grunn er DNS bare en komplisert, automatisert telefonkatalog. Den gjør internett brukbart for mennesker, men den kan bli (og blir) misbrukt av myndigheter til å spionere på innbyggerne sine og sensurere det de ser. Den beste måten å omgå slikt misbruk av DNS på, er å bruke en VPN-tjeneste som Proton VPN.
En VPN-tjeneste slår opp DNS-spørringene dine på en sikker måte i stedet for internettleverandøren din, og de fleste anerkjente VPN-tjenester har som sin viktigste oppgave å beskytte personvernet ditt.
Selvfølgelig tilbyr et VPN også mange andre fordeler, som å skjule den ekte IP-adressen din for nettsteder du besøker, gi forbedret beskyttelse mot at internettleverandører kan overvåke eller sensurere internettaktiviteten din, gi mulighet til å strømme favorittinnholdet ditt når du reiser, og mer.
