DNS-hierarki: rotservere, TLD-servere og autoritativ DNS

Når et domene skal slås opp, går forespørselen gjennom et hierarki på tre nivåer: rotservere, TLD-servere og autoritative servere. Hvert nivå svarer bare på sin del av spørsmålet og peker videre til neste. Her forklarer vi hele kjeden, slik at du kan feilsøke og administrere DNS med kontroll.

TL;DR: DNS-hierarkiet går fra rotservere via TLD-servere til autoritative servere. En resolver starter øverst og jobber seg nedover til den finner den serveren som sitter med de faktiske postene. Med kommandoen dig +trace kan du se hele reisen selv.

Slik fungerer DNS-hierarkiet

DNS, eller Domain Name System, er telefonkatalogen på internett. Det oversetter domenenavn som feno.no til IP-adresser som datamaskiner bruker til å finne hverandre.

Ingen enkelt server kan vite alt. I stedet er ansvaret fordelt i et trestrukturert hierarki, og hvert nivå har én oppgave. Et DNS-oppslag følger alltid samme rekkefølge. Når domenet ditt ligger hos Feno, kan du se hele kjeden i praksis ved å administrere postene i DNS-kontrollpanelet til Feno.

Rotservere: hierarkiets topp

Rotserverne er det øverste nivået i hierarkiet. De vet ikke hvor noe peker, men de vet hvor du finner TLD-serverne for hver toppnivådomene-klasse, som .no, .com og .org. Rotsonen er en liten fil som lister alle toppnivådomenene, men den er utgangspunktet for hvert eneste DNS-oppslag på internett.

Det finnes 13 logiske rotservere, navngitt A til M. Siden hver av dem kjøres som anycast, er de speilet over mer enn 1500 fysiske maskiner verden over. Flere av dem har også instanser i Norge, noe som gir korte svartider og god resiliens her hjemme. Rotsonen har vært signert med DNSSEC (Domain Name System Security Extensions) siden 2010.

TLD-servere: hierarkiets mellomledd

TLD-serverne styrer hver sin toppnivådomene-sone. For .no er det Norid, driftet på vegne av Nasjonal kommunikasjonsmyndighet, som sitter på den rollen. Når en resolver spør en rotserver om .no, svarer den med en referering til Norids TLD-servere.

TLD-serverne peker så videre til de autoritative serverne som faktisk holder sonen til domenet du spør om. De svarer altså aldri på selve innholdet, bare på spørsmålet om hvem som eier svaret.

Autoritative servere: kilden til sannhet

Det siste nivået i DNS-hierarkiet er de autoritative serverne. Disse holder de faktiske DNS-postene for et domene, alt fra A- og AAAA-poster som peker til IP-adresser, til MX-poster for e-post og TXT-poster for verifisering. Når du registrerer et domene hos Feno, er det Fenos autoritative navneservere som svarer for domenet ditt.

Det er hit en resolver til slutt kommer, og det er her svaret faktisk hentes. NS-poster (Name Server) avgjør hvilke servere som er autoritative for sonen, og peker nedover i hierarkiet. Du endrer postene direkte i kontrollpanelet, og Feno signerer sonen med DNSSEC automatisk.

Resolveren og caching

Du er med i hierarkiet som bruker også. Resolveren, gjerne hos internettleverandøren din eller en tjeneste som 1.1.1.1, starter oppslaget og stiller spørsmålene nedover i kjeden på dine vegne.

Resolveren cacher svarene i den tiden TTL-en, eller Time To Live, sier. TTL-en står i sekunder og forteller hvor lenge et svar kan gjenbrukes. Kort TTL betyr at endringer sprer seg raskt, lang TTL betyr færre oppslag og mindre belastning.

For å forhindre at noen forfalsker svarene underveis, signeres hvert nivå i kjeden med DNSSEC. DS-posten (Delegation Signer) knytter sonen til foreldersonen, så roten stoler på .no, .no stoler på domenet ditt, og svaret kan verifiseres kryptografisk hele veien.

Slik sporer du et DNS-oppslag selv

Du trenger ikke ta reisen på troende. Med kommandoverktøyet dig kan du følge hvert eneste hopp i hierarkiet. Kommandoene under fungerer i terminalen på macOS, Linux og Windows med WSL eller Git Bash installert.

1. Se hele kjeden med trace. dig feno.no +trace viser reisen fra rotserveren, via .no, til den autoritative serveren som svarer. Du ser hvilke servere som kontaktes på hvert nivå og hvilke NS-poster som refererer videre.
2. Sjekk TLD-serverne direkte. dig no. NS lister navneserverne som styrer .no-sonen, altså Norids TLD-servere.
3. Spør den autoritative serveren direkte. dig feno.no A +norecurse stiller spørsmålet rett til serveren som sitter på svaret, uten å gå veien om en resolver.
4. Sjekk DNSSEC-kjeden. dig feno.no DNSKEY +trace viser signaturer og DS-poster på hvert nivå og lar deg bekrefte at kjeden er intakt.

Får du svar med status NOERROR og riktig IP-adresse, er kjeden sunn. Status NXDOMAIN betyr at domenet ikke finnes, mens SERVFAIL kan tyde på et brudd i hierarkiet, for eksempel en manglende DNSSEC-signatur.

Vanlige spørsmål om DNS-hierarki

Hvor mange rotservere finnes det?

Det finnes 13 logiske rotservere, navngitt A til M. Fordi hver av dem er speilet med anycast, kjører det over 1500 fysiske instanser verden over. Det gjør at enkeltinstanser kan falle ut uten at oppslag blir rammet.

Hva er forskjellen på en resolver og en autoritativ server?

En resolver stiller spørsmål. Den starter øverst i hierarkiet og jobber seg nedover til den finner svaret, som den så cacher. En autoritativ server svarer. Den sitter på de faktiske postene for en sone og er kilden til sannhet for domenet sitt.

Hva skjer hvis en rotserver er nede?

Veldig lite, i praksis. Rotserverne er speilet over et stort antall instanser, og resolverne cacher dessuten svarene de får, så enkelte oppslag trenger ikke engang nå roten. Skulle en instans falle ut, tar de andre over.

Få kontroll på DNS-oppsettet ditt

Når du vet hvordan hierarkiet er bygget, blir DNS langt mindre mystisk. Det neste steget er å ha oversikt over domenene dine og gjerne en registrar som tar seg av de tekniske detaljene for deg.

Hos Feno administrerer du DNS i et moderne kontrollpanel, og hvert domene signeres med DNSSEC automatisk, uten ekstra arbeid. Registrer ditt første .no-domene fra 99 kr i året, eller flytt inn et domene du allerede har. Norsk eierskap, transparent prising og domenelås med varsling følger med.