W tym artykule omawiamy wyszukiwania DNS — czym są, jak działają i jak wpływają na prywatność online oraz cenzurę.

Wyszukiwanie DNS odnosi się do procesu dopasowywania adresu URL, który wpisujesz w pasku adresu swojej przeglądarki (czytelnej nazwy domeny), do odpowiadającego mu adresu IP.

Wszystkie urządzenia, które łączą się bezpośrednio z internetem, są identyfikowane za pomocą etykiety numerycznej znanej jako adres IP. Aby ułatwić życie nam, ludziom, adres ten można również zidentyfikować za pomocą bardziej czytelnych i łatwiejszych do zapamiętania nazw domen. System nazw domen (DNS) przyporządkowuje te nazwy domen do odpowiadających im adresów IP.

Dowiedz się więcej o adresach IP

Na przykład strona internetowa Proton VPN używa nazwy domeny protonvpn.com, która odpowiada adresowi IP 185.159.159.140. Gdy wpisujesz www.protonvpn.com w pasku adresu URL swojej przeglądarki, nazwa domeny musi zostać przekonwertowana na odpowiadający jej adres IP, aby komputery mogły ją zrozumieć.

Ta konwersja odbywa się za pomocą DNS. Kiedy więc wpisujesz protonvpn.com, DNS konwertuje nazwę domeny na adres IP: 185.159.159.140. Pozwala to Twojej przeglądarce zlokalizować odpowiednią stronę internetową i połączyć się z nią.

Nazwy domen istnieją wyłącznie dla wygody ludzi i nie są wymagane do funkcjonowania internetu. Gdybyś potrafił zapamiętać adresy IP, mógłbyś wpisywać je bezpośrednio. Aby zobaczyć, jak to działa, po prostu wpisz 185.159.159.140 w pasku adresu URL swojej przeglądarki, a przeniesie Cię to na stronę internetową Proton VPN.

Jak działa wyszukiwanie DNS

DNS jest często porównywany do książki telefonicznej, która przyporządkowuje nazwy domen do odpowiadających im adresów IP. To przydatna analogia do zrozumienia roli DNS, ale w rzeczywistości jego działanie jest bardziej skomplikowane.

Resolver DNS

Gdy wpisujesz nazwę domeny w pasku adresu URL swojej przeglądarki, zapytanie DNS jest wysyłane do specjalnego serwera zwanego resolverem DNS (również rekurencyjnym serwerem DNS lub po prostu serwerem DNS).

Jak sama nazwa wskazuje, resolver DNS „rozwiązuje” zapytanie DNS, pobierając odpowiedni adres IP domeny i odsyłając go do Twojej przeglądarki. Skoro przeglądarka zna już adres IP strony internetowej, którą chcesz odwiedzić, może się z nią połączyć.

Jak na razie wszystko wydaje się proste. Ale jak resolver DNS pobiera prawidłowy adres DNS dla domeny (proces ten jest skomplikowany ze względu na fakt, że nowe domeny powstają cały czas, a adresy IP są często dynamicznie przydzielane domenom i w związku z tym regularnie się zmieniają)?

Jak domena jest rozwiązywana za pomocą DNS

Wyszukiwanie DNS dla domeny najwyższego poziomu(nowe okno) (TLD) zazwyczaj obejmuje następujące kroki:

1. Wpisujesz protonvpn.com w pasku adresu URL swojej przeglądarki. Twoja przeglądarkka wysyła to zapytanie przez internet do resolvera DNS.

2. Resolver DNS wysyła zapytanie do głównego serwera nazw DNS (root name server). Jest to serwer przechowujący informacje o domenach TLD (takich jak .com lub .net, bądź domenach krajowych, takich jak .ch lub .uk). W przypadku naszego zapytania (protonvpn.com), główny serwer nazw DNS wskazałby resolver DNS dla domen TLD „.com”.

3. Mając te informacje, resolver DNS wyśle teraz zapytanie do serwera nazw TLD dla domeny .com, który prowadzi listę wszystkich domen .com. Serwer nazw TLD odpowie adresem IP autorytatywnego serwera nazw dla danej domeny.

4. Resolver DNS może teraz wysłać zapytanie do autorytatywnego serwera nazw domeny. Zazwyczaj jest on prowadzony przez rejestratora domeny(nowe okno) — firmę, która dzierżawi i zarządza nazwami domen (taką jak GoDaddy lub Namecheap). Autorytatywny serwer nazw jest ostatecznym źródłem prawdy o domenie i może zwrócić jej adres IP do resolvera DNS (w naszym przypadku będzie to 185.159.159.140).

5. Resolver DNS wysyła prawidłowy adres IP do Twojej przeglądarki, która może teraz połączyć się z adresem 185.159.159.140.

Jak działa DNS

W rzeczywistości sytuacja jest nieco bardziej skomplikowana. Na przykład wiele domen jest powiązanych z wieloma adresami IP (w tym zarówno adresami IPv4, jak i IPv6), a jeśli odwiedzisz subdomenę (taką jak blog.protonvpn.com), konieczne będą dodatkowe kroki.

Informacje są również rutynowo zapisywane w pamięci podręcznej (przechowywane lokalnie) na wszystkich etapach procesu — przez Twoją przeglądarkę, resolver DNS oraz różne serwery nazw. Jeśli wymagane informacje zostaną znalezione w pamięci podręcznej, żądanie nie zostanie wysłane, co skutkuje pominięciem niektórych kroków.

Jednak w gruncie rzeczy tak właśnie działa DNS podczas standardowej wizyty na stronie internetowej.

DNS, cenzura i inwigilacja rządowa

Domyślnie Twoja przeglądarka wysyła zapytania DNS do resolvera DNS prowadzonego przez Twojego dostawcę usług internetowych (ISP). Twój dostawca Internetu może korzystać z różnych metod, aby zobaczyć, co robisz w internecie, ale zdecydowanie najprostszym (i najtańszym) sposobem jest po prostu monitorowanie Twoich zapytań DNS.

Większość rządowych programów masowej inwigilacji opiera się na wymogu, aby dostawcy usług internetowych (ISP) prowadzili logi historii przeglądania swoich klientów. Ponieważ jest to łatwe i tanie, większość dostawców ISP spełnia te obowiązki prawne, przechowując wyłącznie logi DNS.

Podobnie, gdy rządy chcą cenzurować treści internetowe ze względów społecznych, religijnych, politycznych lub „moralnych”, zwracają się do krajowych dostawców ISP z żądaniem wdrożenia tych blokad. Najprostszym sposobem na to jest blokowanie zapytań DNS do określonych stron internetowych i aplikacji.

Usługi DNS stron trzecich

Jednym ze sposobów na uniknięcie przynajmniej części tej cenzury i inwigilacji jest korzystanie z resolvera DNS stron trzecich, takiego jak Cloudflare 1.1.1.1 lub OpenNIC.

Niektóre z tych usług mogą mieć dobre polityki prywatności, ale o ile połączenia z serwerami resolvera DNS nie są zaszyfrowane za pomocą DNS over TLS (DoT) lub DNS over HTTPS (DoH), Twój dostawca ISP może zobaczyć te zapytania w formacie otwartego tekstu, jeśli tylko zdecyduje się na nie spojrzeć.

Szyfrowanie zapytań DNS utrudnia (a przez to czyni bardziej kosztownym) dostawcy ISP monitorowanie Twojej historii przeglądania, ale nadal może on dość łatwo prześledzić, z którymi stronami internetowymi i aplikacjami się łączysz, jeśli tylko zechce.

Pobierz Proton VPN!

DNS i sieci VPN

Podczas korzystania z VPN (takiego jak Proton VPN) Twoje połączenie z serwerem VPN jest zaszyfrowane. Przy pewnym wysiłku Twój dostawca ISP może zobaczyć, że łączysz się z adresem IP należącym do serwera VPN, ale to wszystko.

Zapytania DNS są wysyłane przez tunel VPN i rozwiązywane przez dostawcę VPN, który może prowadzić własny resolver DNS lub korzystać z resolvera VPN stron trzecich. Nie ma to wpływu na prywatność, ponieważ zapytania DNS wydają się pochodzić z serwera VPN, a nie od użytkownika sieci VPN.

Dowiedz się, jak działa VPN

Warto zauważyć, że podczas korzystania z VPN nie ma potrzeby szyfrowania DNS, ponieważ wszystkie zapytania DNS i tak są wysyłane przez zaszyfrowany tunel VPN.

Nie zaleca się również korzystania z resolvera DNS stron trzecich wraz z VPN. Skonfigurowanie systemu w ten sposób może spowodować, że Twoje zapytania DNS będą wysyłane poza tunelem VPN do zewnętrznego resolvera DNS stron trzecich.

Dowiedz się więcej o wyciekach DNS

NetShield Ad-blocker

Proton VPN oferuje funkcję NetShield Ad-blocker we wszystkich naszych aplikacjach. Jest to funkcja filtrowania DNS, która blokuje zapytania DNS do domen należących do firm reklamowych, internetowych elementów śledzących oraz złośliwego oprogramowania. Działa ona (oraz inne podobne usługi filtrowania DNS) na poziomie resolvera DNS, po prostu nie rozwiązując zapytań DNS do domen z czarnej listy.

Dowiedz się więcej o blokadzie reklam Netshield

Technicznie rzecz biorąc, stanowi to wyciek DNS (patrz poniżej). Może to nie być poważny problem, jeśli zapytanie DNS jest zaszyfrowane i ufasz serwerowi rozpoznawania nazw DNS, ale wprowadza to do równania niepotrzebną stronę trzecią (a tym samym potencjalny słaby punkt).

Wycieki DNS

Podczas korzystania z VPN wszystkie zapytania DNS powinny być przesyłane przez tunel VPN w celu ich rozpoznania przez dostawcę VPN. Jeśli z jakiegokolwiek powodu zapytanie DNS zostanie wysłane poza tunel VPN do serwera rozpoznawania nazw DNS strony trzeciej, następuje wyciek DNS. Brak prawidłowego kierowania żądań DNS IPv6 przez tunel VPN jest częstą przyczyną wycieków DNS.

Jako że tą stroną trzecią byłby najprawdopodobniej Twój ISP, wycieki DNS stanowią poważne zagrożenie dla prywatności. Rzecz jasna wszystkie aplikacje Proton VPN mają silną, wbudowaną ochronę przed wyciekami DNS.

Kup Proton VPN Plus

Typowe rodzaje rekordów DNS

Oto niektóre z kluczowych typów rekordów DNS, które można sprawdzić:

  • Rekord A (adresowy): przypisuje nazwę domeny do adresu IPv4. Przykład: example.com → 192.0.2.1
  • Rekord AAAA (Quad A): przypisuje nazwę domeny do adresu IPv6. Przykład: example.com → 2001:0db8:85a3:0000:0000:8a2e:0370:7334
  • Rekord CNAME (nazwy kanonicznej): przypisuje nazwę domeny do innej nazwy domeny, skutecznie tworząc alias jednej nazwy dla drugiej. Przykład: www.example.com → example.com
  • Rekord MX (Mail Exchange): określa serwery pocztowe odpowiedzialne za odbieranie wiadomości w imieniu domeny. Przykład: example.com → mail.example.com (priorytet 10 — numer priorytetu wskazuje preferencję, przy czym preferowane są żądania o niższym priorytecie).
  • Rekord PTR (wskaźnikowy): przypisuje adres IP do nazwy domeny i jest używany głównie do odwrotnego wyszukiwania DNS. Przykład: 192.0.2.1 → example.com
  • Rekord NS (serwera nazw): określa autorytatywne serwery nazw dla domeny. Przykład: example.com → ns1.example.com, ns2.example.com
  • Rekord SOA (Start of Authority): zawiera ważne informacje o domenie, w tym główny serwer nazw, adres e-mail administratora domeny, numer seryjny domeny (który pomaga zarządzać danymi DNS i synchronizować je na wielu serwerach DNS) oraz liczniki czasu odświeżania, ponawiania i wygasania (Przykład: example.com → ns1.example.com, admin.example.com, 2024041501)
  • Rekord TXT (tekstowy): zawiera dowolne dane tekstowe, często używane do weryfikacji wiadomości (takich jak SPF lub DKIM) i innych celów weryfikacyjnych. Przykład: example.com → “v=spf1 include:example.com ~all”
  • Rekord SRV (usługi): określa lokalizację serwerów dla konkretnych usług, takich jak protokół telefonii internetowej SIP(nowe okno), protokół komunikacyjny XMPP(nowe okno) itp. Przykład: _sip._tcp.example.com → 0 5 5060 sipserver.example.com
  • Rekord CAA (Certification Authority Authorization): określa, które urzędy certyfikacji (CA) mogą wystawiać certyfikaty dla domeny. Przykład: example.com → 0 issue “letsencrypt.org”
  • Rekord NAPTR (Naming Authority Pointer): używany do rozpoznawania adresów URL i definiowania reguł przepisywania dla różnych usług, takich jak VoIP. Przykład: example.com → 100 50 “s” “SIP+D2U” “” _sip._udp.example.com
  • DNSKEY: zawiera publiczny klucz podpisywania używany w DNSSEC (zestawie specyfikacji mających na celu dodanie dodatkowej warstwy zabezpieczeń do DNS).
  • . Przykład: example.com → 256 3 13 …
  • Rekord DS (Delegation Signer): zawiera skrót kryptograficzny rekordu DNSKEY w celu zabezpieczenia delegacji w DNSSEC. Przykład: example.com → 12345 13 2 …
  • Rekord SPF (Sender Policy Framework): służy do określania, które adresy IP są upoważnione do wysyłania wiadomości w imieniu domeny. Przykład: example.com → “v=spf1 ip4:192.0.2.0/24 -all”

Polecenia wyszukiwania DNS

Polecenia DNS służą do odpytywania, testowania i rozwiązywania problemów z serwerami oraz rekordami DNS. Narzędzia te są niezbędne administratorom sieci, aby upewnić się, że usługi DNS działają poprawnie, ponieważ system DNS ma kluczowe znaczenie dla rozpoznawania nazw domen na adresy IP.

Poniżej znajduje się kilka powszechnie używanych poleceń DNS. Możesz uruchomić te polecenia w oknie terminala (Linux), Terminalu (macOS), Wierszu polecenia (cmd) lub PowerShellu (Windows), a nawet w aplikacji emulatora terminala na swoim urządzeniu mobilnym. Nie wszystkie z tych poleceń mogą być dostępne od razu na Twojej platformie, ale w prawie każdym przypadku można je łatwo zainstalować.

nslookup

Polecenie nslookup to narzędzie do odpytywania DNS w celu uzyskania przypisania nazwy domeny lub adresu IP. Możesz także określić konkretny serwer DNS, którego chcesz użyć, i wykonać odwrotne wyszukiwanie DNS.

nslookup

dig

Polecenie dig (Domain Information Groper) to potężniejsze i bardziej elastyczne narzędzie do wyszukiwania adresów IP w DNS niż nslookup. Administratorzy sieci często wolą je ze względu na szczegółowe dane wyjściowe i zaawansowane opcje.

dig

Za pomocą narzędzia dig możesz także odpytać o konkretny typ rekordu DNS, wysłać zapytanie do określonego serwera DNS i wykonać odwrotne wyszukiwanie DNS.

host

Polecenie host to kolejne narzędzie do wykonywania wyszukiwań DNS. Jest prostsze niż dig, ale dostarcza wystarczających informacji do podstawowych zadań, w tym odpytywania określonego serwera DNS i wykonywania odwrotnego wyszukiwania DNS.

host

ping

Polecenie ping służy przede wszystkim do sprawdzania dostępności hosta w sieci IP, ale w ramach swojego działania wykonuje również rozpoznawanie nazw DNS.

ping

traceroute / tracert

Polecenia traceroute (w systemach Linux i macOS) oraz tracert (w systemie Windows) służą do śledzenia ścieżki pakietu od źródła do miejsca docelowego. Rozpoznają one nazwę domeny na adres IP i pokazują każdy przeskok na drodze do celu.

traceroute

ipconfig / ifconfig

Polecenia ifconfig (w systemach Linux i macOS) oraz ipconfig (w systemie Windows) mogą być używane do wyświetlania konfiguracji sieci, w tym serwerów DNS używanych przez system. Uruchomione samodzielnie wyświetlają tylko aktywne interfejsy. Aby zobaczyć wszystkie interfejsy w systemie Windows, użyj polecenia ipconfig /all.

ipconfig

Narzędzia do wyszukiwania DNS

Oprócz omówionych powyżej narzędzi wiersza poleceń istnieje wiele narzędzi online do wyszukiwania DNS, które oferują graficzny interfejs użytkownika (GUI). Dobrym przykładem jest nasz bezpłatny, bezpieczny skaner IP, który umożliwia wykonywanie standardowych wyszukiwań DNS, a także wyszukiwań MX, NS, CNAME i TXT.

Wyszukiwanie DNS

Może również wykonywać odwrotne wyszukiwanie DNS (wyszukiwanie IP).

Odwrotne wyszukiwanie DNS

Końcowe przemyślenia

W gruncie rzeczy DNS to po prostu skomplikowana, automatyczna książka telefoniczna. Sprawia, że internet jest przyjazny dla ludzi, ale może być (i jest) wykorzystywany przez rządy do szpiegowania obywateli i cenzurowania treści, które przeglądają. Najlepszym sposobem na obejście tych nadużyć systemu DNS jest korzystanie z usługi VPN, takiej jak Proton VPN.

Usługa VPN bezpiecznie rozpoznaje Twoje zapytania DNS zamiast Twojego dostawcy usług internetowych (ISP), a większość renomowanych dostawców VPN stawia sobie za cel ochronę Twojej prywatności.

Oczywiście VPN oferuje również wiele innych korzyści, takich jak ukrywanie Twojego prawdziwego adresu IP przed odwiedzanymi stronami internetowymi, zapewnianie lepszej ochrony przed monitorowaniem lub cenzurowaniem Twojej aktywności w internecie przez dostawców usług internetowych (ISP), możliwość przesyłania strumieniowego ulubionych treści podczas podróży i wiele więcej.

Dowiedz się więcej o korzyściach płynących z korzystania z VPN