Neste artigo, discutimos as consultas DNS — o que são, como funcionam e como impactam a privacidade on-line e a censura.

Uma consulta DNS se refere ao processo de associar a URL que você insere na barra de endereços do seu navegador (o nome de domínio legível) ao seu endereço IP correspondente.

Todos os dispositivos que se conectam diretamente à internet são identificados por um marcador numérico conhecido como endereço IP. Para facilitar as coisas para nós, humanos, esse endereço também pode ser identificado usando nomes de domínio mais fáceis de ler e lembrar. O Domain Name System (DNS) mapeia esses nomes de domínio para seus endereços IP correspondentes.

Saiba mais sobre endereços IP

Por exemplo, o site do Proton VPN usa o nome de domínio protonvpn.com, que corresponde ao endereço IP 185.159.159.140. Quando você digita www.protonvpn.com na barra de URL do seu navegador, o nome de domínio precisa ser convertido em seu endereço IP correspondente para que os computadores possam compreendê-lo.

Essa conversão é realizada usando o DNS. Portanto, quando você digita protonvpn.com, o DNS converte o nome de domínio no endereço IP: 185.159.159.140. Isso permite que seu navegador localize e se conecte ao site correto.

Os nomes de domínio existem apenas para a conveniência humana e não são necessários para o funcionamento da internet. Se você conseguisse se lembrar dos endereços IP, poderia digitá-los diretamente. Para ver isso em ação, basta inserir 185.159.159.140 na barra de URL do seu navegador e você será direcionado para o site do Proton VPN.

Como funciona uma consulta DNS

O DNS é frequentemente comparado a uma lista telefônica que faz a correspondência cruzada de nomes de domínio com seus respectivos endereços IP. Essa é uma analogia útil para entender o que o DNS faz, mas a realidade de como ele funciona é mais complexa.

Resolvedor DNS

Quando você insere um nome de domínio na barra de URL do seu navegador, uma consulta DNS é enviada para um servidor especial chamado resolvedor DNS (também conhecido como recursor DNS ou apenas servidor DNS).

Como o próprio nome sugere, o resolvedor DNS “resolve” a consulta DNS recuperando o endereço IP correspondente do domínio e enviando-o de volta ao seu navegador. Agora que sabe o endereço IP do site que você deseja visitar, seu navegador pode se conectar a ele.

Até aí, tudo bem. Mas como o resolvedor DNS recupera o endereço DNS correto para um domínio (um processo complicado pelo fato de que novos domínios são criados o tempo todo e os endereços IP geralmente são alocados dinamicamente para os domínios e, portanto, mudam rotineiramente)?

Como um domínio é resolvido usando o DNS

Uma consulta DNS para um domínio de nível superior(nova janela) (TLD) geralmente envolve as seguintes etapas:

1. Você digita protonvpn.com na barra de URL do seu navegador. Seu navegador envia essa consulta pela internet para um resolvedor DNS.

2. O resolvedor DNS envia uma consulta para um servidor de nomes raiz do DNS. Este é um servidor que armazena informações sobre TLDs (como .com ou .net, ou TLDs de código de país, como .ch ou .uk). Como nossa consulta era para (protonvpn.com), o servidor de nomes raiz do DNS apontaria para o resolvedor DNS para TLDs “.com”.

3. Com essas informações, o resolvedor DNS agora consultará o servidor de nomes TLD .com, que mantém uma lista de todos os domínios .com. O servidor de nomes TLD responde com o endereço IP do servidor de nomes autoritativo do domínio.

4. O resolvedor DNS agora pode consultar o servidor de nomes autoritativo do domínio. Ele geralmente é administrado por um registrador de nomes de domínio(nova janela), uma empresa que aluga e gerencia nomes de domínio (como GoDaddy ou Namecheap). O servidor de nomes autoritativo é a fonte final da verdade sobre o domínio e pode retornar seu endereço IP ao resolvedor DNS (no nosso caso, será 185.159.159.140).

5. O resolvedor DNS envia o endereço IP correto para o seu navegador, que agora pode se conectar a 185.159.159.140.

Como funciona o DNS

Na realidade, la situação é um pouco mais complicada. Por exemplo, muitos domínios estão associados a múltiplos endereços IP (incluindo tanto endereços IPv4 quanto IPv6), e haverá etapas adicionais se você visitar um subdomínio (como blog.protonvpn.com).

As informações também são rotineiramente armazenadas em cache (armazenadas localmente) em todas as etapas do processo — pelo seu navegador, pelo resolvedor DNS e pelos vários servidores de nomes. Se a informação necessária for encontrada em um cache, a solicitação não será enviada, o que faz com que algumas etapas sejam ignoradas.

No entanto, em essência, é assim que o DNS funciona para uma visita padrão a um site.

DNS, censura e vigilância governamental

Por padrão, seu navegador envia suas consultas DNS para um resolvedor DNS executado pelo seu provedor de acesso à internet (ISP). Seu ISP pode usar vários métodos para ver o que você faz na internet, mas a maneira mais fácil (e barata), de longe, é simplesmente monitorar suas consultas DNS.

A maioria dos programas de espionagem governamental em massa baseia-se em exigir que os ISPs mantenham registros do histórico de navegação de seus clientes. E, por ser fácil e barato, a maioria dos ISPs cumpre essas obrigações legais apenas mantendo registros de DNS.

Da mesma forma, quando os governos desejam censurar o conteúdo da internet por motivos sociais, religiosos, políticos ou “morais”, eles pedem aos ISPs locais que apliquem esses bloqueios. E a maneira mais fácil de fazer isso é bloquear as consultas DNS para sites e aplicativos específicos.

Serviços de DNS de terceiros

Uma maneira de evitar pelo menos um pouco dessa censura e vigilância é usar um resolvedor DNS de terceiros, como o Cloudflare 1.1.1.1 ou o OpenNIC.

Alguns desses serviços podem ter boas políticas de privacidade, mas, a menos que as conexões com os servidores resolvedores de DNS sejam criptografadas usando DNS sobre TLS (DoT) ou DNS sobre HTTPS (DoH), seu ISP poderá ver as solicitações em texto simples se decidir analisar.

Criptografar as consultas DNS torna mais difícil (e, portanto, mais caro) para um ISP monitorar seu histórico de navegação, mas ele ainda pode rastrear com bastante facilidade a quais sites e aplicativos você se conecta, se assim desejar.

Obter o Proton VPN!

DNS e VPNs

Ao usar uma VPN (como o Proton VPN), sua conexão com o servidor VPN é criptografada. Com algum esforço, seu ISP pode ver que você se conectou a um endereço IP pertencente ao servidor VPN, mas nada além disso.

As consultas DNS são enviadas através do túnel VPN e resolvidas pelo provedor VPN, que pode executar seu próprio resolvedor DNS ou usar um resolver VPN de terceiros. Isso não tem implicações de privacidade, pois as consultas DNS parecem vir do servidor VPN, e não do usuário da VPN.

Saiba como funciona uma VPN

Vale notar que não há necessidade de DNS criptografado ao usar uma VPN, pois todas as consultas DNS já são enviadas através do túnel VPN criptografado de qualquer maneira.

Também não é recomendado usar um resolvedor DNS de terceiros em conjunto com uma VPN. Configurar seu sistema dessa maneira pode fazer com que suas consultas DNS sejam enviadas fora do túnel VPN para o resolvedor DNS de terceiros.

Saiba mais sobre vazamentos de DNS

NetShield Ad-blocker

O Proton VPN oferece o NetShield Ad-blocker em todos os nossos aplicativos. Esse é um recurso de filtragem de DNS que bloqueia consultas DNS para domínios sabidamente pertencentes a empresas de publicidade, rastreadores on-line e malware. Ele (e outros serviços semelhantes de filtragem de DNS) funciona no nível do resolvedor DNS, simplesmente deixando de resolver as consultas DNS para domínios na lista de bloqueio.

Saiba mais sobre o bloqueador de anúncios NetShield

Tecnicamente, isso constitui um vazamento de DNS (veja abaixo). Isso pode não ser um grande problema se a consulta DNS for criptografada e você confiar no resolvedor de DNS, mas introduz um terceiro desnecessário (e, portanto, um potencial ponto fraco) na equação.

Vazamentos de DNS

Ao usar uma VPN, todas as consultas DNS devem ser enviadas pelo túnel da VPN para serem resolvidas pelo provedor de VPN. Se, por qualquer motivo, a consulta DNS for enviada para fora do túnel da VPN para um resolvedor de DNS de terceiros, ocorreu um vazamento de DNS. A falha ao rotear corretamente as solicitações de DNS IPv6 pelo túnel da VPN é uma causa comum de vazamentos de DNS.

Como esse terceiro provavelmente seria o seu provedor de internet (ISP), os vazamentos de DNS são uma preocupação séria de privacidade. Nem precisa dizer que todos os aplicativos do Proton VPN têm uma forte proteção integrada contra vazamentos de DNS.

Obtenha o Proton VPN Plus

Tipos comuns de registros DNS

Aqui estão alguns dos principais tipos de registros DNS que podem ser consultados:

  • Registro A (Address): Mapeia um nome de domínio para um endereço IPv4. Exemplo: exemplo.com → 192.0.2.1
  • Registro AAAA (Quad A): Mapeia um nome de domínio para um endereço IPv6. Exemplo: exemplo.com → 2001:0db8:85a3:0000:0000:8a2e:0370:7334
  • Registro CNAME (Canonical Name): Mapeia um nome de domínio para outro nome de domínio, criando efetivamente um apelido de um nome para outro. Exemplo: www.exemplo.com → exemplo.com
  • Registro MX (Mail Exchange): Especifica os servidores de e-mail responsáveis por receber e-mails em nome de um domínio. Exemplo: exemplo.com → mail.exemplo.com (prioridade 10 — o número da prioridade indica a preferência, sendo preferidas as solicitações com números de prioridade menores).
  • Registro PTR (Pointer): Mapeia um endereço IP para um nome de domínio, usado principalmente para consultas DNS reversas. Exemplo: 192.0.2.1 → exemplo.com
  • Registro NS (Name Server): Especifica os servidores de nomes autoritativos para um domínio. Exemplo: exemplo.com → ns1.exemplo.com, ns2.exemplo.com
  • Registro SOA (Start of Authority): Fornece informações importantes sobre o domínio, incluindo o servidor de nomes principal, o e-mail do administrador do domínio, o número de série do domínio (que ajuda a gerenciar e sincronizar dados DNS em vários servidores DNS) e os temporizadores de atualização, nova tentativa e expiração (Exemplo: exemplo.com → ns1.exemplo.com, admin.exemplo.com, 2024041501)
  • Registro TXT (Text): Contém dados de texto arbitrários, frequentemente usados para validação de e-mail (como SPF ou DKIM) e outros fins de verificação. Exemplo: exemplo.com → “v=spf1 include:exemplo.com ~all”
  • Registro SRV (Service): Especifica a localização de servidores para serviços específicos, como o protocolo de telefonia de internet SIP(nova janela), o protocolo de mensagens XMPP(nova janela) etc. Exemplo: _sip._tcp.exemplo.com → 0 5 5060 sipserver.exemplo.com
  • Registro CAA (Certification Authority Authorization): Especifica quais autoridades de certificação (CAs) têm permissão para emitir certificados para um domínio. Exemplo: exemplo.com → 0 issue “letsencrypt.org”
  • Registro NAPTR (Naming Authority Pointer): Usado para resolução de URL e definição de regras de reescrita para vários serviços, como VoIP. Exemplo: exemplo.com → 100 50 “s” “SIP+D2U” “” _sip._udp.exemplo.com
  • DNSKEY: Contém a chave de assinatura pública usada no DNSSEC (conjunto de especificações projetadas para adicionar uma camada extra de segurança ao DNS).
  • . Exemplo: exemplo.com → 256 3 13 …
  • Registro DS (Delegation Signer): Contém o hash de um registro DNSKEY para proteger delegações no DNSSEC. Exemplo: exemplo.com → 12345 13 2 …
  • Registro SPF (Sender Policy Framework): Usado para definir quais endereços IP estão autorizados a enviar e-mails em nome de um domínio. Exemplo: exemplo.com → “v=spf1 ip4:192.0.2.0/24 -all”

Comandos de consulta DNS

Os comandos DNS são usados para consultar, testar e solucionar problemas em servidores e registros DNS. Esses comandos são essenciais para que os administradores de rede garantam que os serviços DNS estejam funcionando corretamente, pois o DNS é crucial para a resolução de nomes de domínio para endereços IP.

Abaixo estão alguns comandos DNS comumente usados. Você pode executar esses comandos em uma janela de terminal (Linux), no Terminal (macOS), no Prompt de Comando (cmd) ou PowerShell (Windows) ou até mesmo em um aplicativo emulador de terminal no seu dispositivo móvel. Nem todos esses comandos podem estar disponíveis de forma nativa na sua plataforma, mas em quase todos os casos eles são fáceis de instalar.

nslookup

O comando nslookup é uma ferramenta para consultar o DNS e obter o mapeamento de nomes de domínio ou endereços IP. Você também pode especificar um servidor DNS específico para usar e realizar uma consulta DNS reversa.

nslookup

dig

O comando dig (Domain Information Groper) é uma ferramenta de consulta de IP de DNS mais poderosa e flexível do que o nslookup. Os administradores de rede costumam preferi-lo por causa de sua saída detalhada e opções avançadas.

dig

Com o dig, você também pode consultar um tipo de registro DNS específico, consultar um servidor DNS específico e realizar uma consulta DNS reversa.

host

O comando host é outra ferramenta para realizar consultas DNS. Ele é mais simples que o dig, mas fornece informações suficientes para tarefas básicas, incluindo a consulta a um servidor DNS específico e a realização de consultas DNS reversas.

host

ping

O comando ping é usado principalmente para verificar a acessibilidade de um host em uma rede IP, mas também realiza a resolução de DNS como parte de sua operação.

ping

traceroute / tracert

Os comandos traceroute (no Linux e macOS) e tracert (no Windows) são usados para rastrear o caminho de um pacote, da origem ao destino. Eles resolvem o nome do domínio para um endereço IP e mostram cada salto no caminho até o destino.

traceroute

ipconfig / ifconfig

Os comandos ifconfig (no Linux e macOS) e ipconfig (no Windows) podem ser usados para exibir a configuração de rede, incluindo os servidores DNS que o sistema está usando. Quando usados sozinhos, exibem apenas as interfaces ativas. Para ver todas as interfaces no Windows, use ipconfig /all.

ipconfig

Ferramentas de consulta DNS

Além das ferramentas de linha de comando como as discutidas acima, existem muitas ferramentas de consulta DNS on-line que oferecem uma interface gráfica de usuário (GUI) para consultar o DNS. Um bom exemplo é o nosso scanner de IP seguro e gratuito, que permite realizar consultas de DNS normais, bem como consultas de MX, NS, CNAME e TXT.

Consulta DNS

Ele também pode realizar consultas DNS reversas (consulta de IP).

Consulta DNS reversa

Considerações finais

No fundo, o DNS é apenas uma lista telefônica automatizada e complicada. Ele torna a internet utilizável para os humanos, mas pode ser (e é) usado de forma abusiva por governos para espionar seus cidadãos e censurar o que eles veem. A melhor maneira de contornar esses abusos do DNS é usar um serviço de VPN, como o Proton VPN.

Um serviço de VPN resolve de forma segura as suas consultas DNS em vez do seu provedor de internet (ISP), e a maioria dos serviços de VPN de boa reputação tem como compromisso proteger a sua privacidade.

Claro que uma VPN também oferece muitos outros benefícios, como ocultar o seu endereço IP real dos sites que você visita, fornecer proteção aprimorada para evitar que os provedores de internet (ISPs) consigam monitorar ou censurar sua atividade na internet, permitir que você faça streaming dos seus conteúdos favoritos quando estiver viajando e muito mais.

Saiba mais sobre os benefícios de usar uma VPN