DNS

DNS (Domain Name System) to system, który zamienia łatwe do zapamiętania nazwy stron (np. example.com) na ciągi cyfr (adresy IP, np. 93.184.216.34), po których urządzenia naprawdę odnajdują się w internecie. Najprościej myśleć o nim jak o książce telefonicznej internetu: ty znasz nazwę, a DNS w tle podpowiada „numer”, pod który trzeba zadzwonić, żeby się połączyć.

Czym jest DNS?

Ludzie wolą nazwy, komputery wolą liczby. Ty zapamiętasz example.com, ale urządzenia po drugiej stronie rozpoznają się po adresach IP, czyli ciągach cyfr w stylu 93.184.216.34. DNS jest tłumaczem między tymi dwoma światami — bierze nazwę, którą wpisałeś, i zwraca adres IP, dzięki czemu połączenie w ogóle może powstać.

Co ważne, nie ma jednego wielkiego serwera, który zna wszystkie nazwy na świecie. Wiedza jest rozłożona na mnóstwo serwerów, które się ze sobą dogadują. Dzięki temu system jest szybki i trudno go całkowicie wyłączyć — jak sieć współpracujących bibliotek zamiast jednego magazynu. (Adresy IP występują w dwóch wersjach: starszej IPv4, np. 93.184.216.34, i nowszej, dłuższej IPv6 — DNS obsługuje obie.)

Jak działa DNS?

Gdy wpisujesz adres w przeglądarce, twoje urządzenie musi najpierw poznać adres IP strony, zanim cokolwiek z niej pobierze. To „dopytanie się o adres” nazywamy rozwiązywaniem nazwy. Jeśli odpowiedź nie jest jeszcze zapamiętana, pytanie wędruje przez kilka serwerów, które krok po kroku odsyłają je coraz bliżej właściwego źródła.

Dla ciebie to wszystko dzieje się w ułamku sekundy i jest całkowicie niewidoczne. W tle padło jednak kilka osobnych pytań, a gotowa odpowiedź została zapamiętana — żeby następnym razem ta sama strona otworzyła się od razu.

Jakie są rodzaje serwerów DNS?

W klasycznym układzie pytanie obsługują po kolei cztery rodzaje serwerów. Można je porównać do łańcuszka osób, z których każda wie trochę więcej i odsyła cię dalej:

• Resolver (serwer pytający) — punkt startowy. Przyjmuje twoje pytanie i bierze na siebie znalezienie odpowiedzi, odpytując kolejne serwery. Zwykle udostępnia go dostawca internetu albo publiczna usługa.
• Serwer główny (root) — sam nie zna konkretnych adresów, ale wie, kto obsługuje daną końcówkę nazwy, np. .com czy .pl, i tam odsyła.
• Serwer TLD — odpowiada za całą końcówkę domeny (jak .com, .org czy .pl) i wskazuje, kto dokładnie zna szukaną stronę.
• Serwer autorytatywny — to on przechowuje prawdziwe dane danej domeny i daje ostateczną, wiążącą odpowiedź z adresem IP.

Czym jest resolver DNS?

Resolver to taki „concierge”, który załatwia sprawę za ciebie. Ty zadajesz jedno pytanie („jaki jest adres example.com?”), a on po kolei obdzwania serwer główny, serwer końcówki domeny i serwer autorytatywny, aż zdobędzie odpowiedź. Co więcej, dobrze pamięta — jeśli pytałeś o tę stronę niedawno i odpowiedź wciąż jest aktualna, odda ją natychmiast, bez ponownego biegania po serwerach.

Jak wygląda pojedyncze zapytanie DNS?

Dla strony, o którą nikt jeszcze nie pytał, droga wygląda mniej więcej tak:

1. Wpisujesz adres (np. example.com), a twój system przekazuje pytanie do resolvera.
2. Resolver sprawdza najpierw własną pamięć. Jeśli zna aktualną odpowiedź, oddaje ją od razu i na tym koniec.
3. Jeśli nie wie, pyta jeden z serwerów głównych (root).
4. Serwer główny odsyła go do serwera odpowiedzialnego za końcówkę domeny (np. .com).
5. Resolver pyta ten serwer końcówki o szukaną stronę.
6. Serwer końcówki wskazuje serwer autorytatywny, który zna tę konkretną domenę.
7. Resolver pyta serwer autorytatywny o adres.
8. Serwer autorytatywny zwraca adres IP.
9. Resolver zapamiętuje odpowiedź na jakiś czas i przekazuje adres twojemu urządzeniu, które łączy się ze stroną.

Jakie są rodzaje zapytań DNS?

• Zapytanie rekurencyjne — mówisz resolverowi „znajdź mi gotową odpowiedź”, a on zajmuje się całą resztą i wraca albo z adresem, albo z informacją o błędzie.
• Zapytanie iteracyjne — serwer mówi „sam tego nie wiem, ale zapytaj tam dalej”. Tak właśnie resolver rozmawia z serwerami root, końcówek domen i autorytatywnymi.
• Zapytanie nierekurencyjne — serwer już zna odpowiedź (ma ją zapamiętaną albo sam odpowiada za daną domenę) i podaje ją od ręki.

Po co DNS zapamiętuje odpowiedzi i czym jest TTL?

Żeby internet działał szybciej i nie zasypywać serwerów milionami tych samych pytań, odpowiedzi DNS są zapamiętywane (buforowane) w kilku miejscach po drodze:

• w przeglądarce — to pierwsze miejsce, w które zagląda, gdy otwierasz stronę,
• w systemie operacyjnym — komputer czy telefon trzyma niedawne odpowiedzi, zanim w ogóle wyśle pytanie w sieć,
• w resolverze — serwer dostawcy lub usługi publicznej pamięta odpowiedzi dla wielu użytkowników naraz.

Jak długo dana odpowiedź jest „ważna”, określa TTL (Time To Live) — czas w sekundach ustawiany przez właściciela domeny. Można to porównać do daty przydatności: po jej upływie odpowiedź uznaje się za nieświeżą i przy następnym pytaniu pobiera na nowo. Krótki TTL sprawia, że zmiany na stronie rozchodzą się szybciej, ale generuje więcej pytań; długi TTL odciąża serwery, lecz zmiany docierają wolniej.

Jakie są typy rekordów DNS?

Dane domeny są poukładane w „wpisy” (rekordy) różnego rodzaju — każdy odpowiada za co innego. Najważniejsze to:

• A — przypisuje nazwie domeny adres IPv4.
• AAAA — przypisuje nazwie domeny adres IPv6.
• CNAME — alias, czyli wskazanie jednej nazwy na inną (jak przekierowanie pod właściwy adres).
• MX — wskazuje serwery, które odbierają pocztę dla domeny.
• NS — mówi, które serwery są autorytatywne dla danej domeny.
• TXT — przechowuje dowolny tekst; używany m.in. do potwierdzania własności domeny oraz przy zabezpieczeniach poczty (SPF, DKIM, DMARC).
• PTR — działa odwrotnie: z adresu IP odtwarza nazwę domeny (tzw. reverse DNS).
• SOA — wpis „nagłówkowy” domeny, z podstawowymi ustawieniami strefy.

Dlaczego DNS jest ważny dla bezpieczeństwa?

DNS powstał dawno temu, gdy liczyło się głównie to, żeby po prostu działał — nie wbudowano w niego sprawdzania, czy odpowiedź naprawdę pochodzi z zaufanego źródła. Dlatego bywa zarówno celem ataków, jak i narzędziem w rękach napastników. Z drugiej strony jest wszędzie, więc to, czego i kiedy ktoś szuka w DNS, jest świetnym tropem przy wykrywaniu zagrożeń. Najważniejsze pojęcia, na które warto zwrócić uwagę:

• Zatruwanie pamięci (cache poisoning / spoofing) — podrzucenie resolverowi fałszywej odpowiedzi, przez co trafiasz na serwer atakującego, choć wpisałeś poprawny adres. To trochę jak ktoś podmieniający numer w książce telefonicznej.
• Przejęcie DNS (DNS hijacking) — podmiana ustawień DNS na twoim urządzeniu, routerze lub u dostawcy domeny, żeby cały ruch płynął na podstawione serwery.
• Tunelowanie DNS (DNS tunneling) — przemycanie innych danych ukrytych w zapytaniach DNS. Napastnicy lubią to, bo ruch DNS rzadko jest blokowany i często mało kto mu się przygląda — wykorzystują go po cichu do sterowania zainfekowanymi komputerami i wykradania danych.
• DGA (Domain Generation Algorithm) — złośliwe oprogramowanie samo wymyśla mnóstwo zmieniających się nazw domen, żeby trudniej było je zablokować i odciąć od „centrali”.
• Ataki DDoS na DNS — zalewanie serwerów DNS taką liczbą zapytań, że przestają nadążać; bywają też wykorzystywane do wzmacniania ataków na inne ofiary.
• DNSSEC — dodatek, który podpisuje odpowiedzi DNS cyfrowo, żeby dało się sprawdzić, że pochodzą z właściwego źródła i nikt ich po drodze nie zmienił (chroni autentyczność, ale nie ukrywa treści).
• DoH i DoT — sposoby na szyfrowanie zapytań DNS, żeby nikt po drodze ich nie podsłuchał ani nie podmienił. Zwiększają prywatność, ale jednocześnie utrudniają obrońcom podejrzenie, co się dzieje w ruchu DNS.

Dla zespołów bezpieczeństwa (SOC) i systemów monitorujących sieć dane z DNS są więc bardzo cenne. Widać w nich odwołania do znanych złośliwych domen, dziwne, „maszynowe” wzorce zapytań typowe dla DGA, podejrzanie długie wpisy TXT mogące świadczyć o tunelowaniu czy nagłą zmianę zachowania jakiegoś urządzenia. Obserwowanie DNS często pozwala wyłapać atak wcześnie — zanim dojdzie do faktycznej kradzieży danych.

Dowiedz się więcej

• Błędy DNS i bezpieczeństwo DNS – DNSSEC, ochrona przed atakami DNS i DNS management errors — Opisuje zagrożenia i zabezpieczenia związane z konfiguracją oraz działaniem DNS.
• ARP Spoofing – jak wykryć atak Man-in-the-Middle i zatruwanie ARP w sieci LAN — Pokazuje atak w sieci LAN, który może pośrednio przechwytywać lub modyfikować ruch DNS.
• Czym jest NetFlow i jak ten protokół jest wykorzystywany w praktyce? — NetFlow pomaga analizować ruch, w tym zapytania i odpowiedzi DNS w sieci.
• Architektura Zero Trust – rola widoczności sieci i mikrosegmentacji w bezpieczeństwie — Zero Trust wymaga kontroli dostępu do usług sieciowych, także serwerów DNS.
• Czym jest atak DDoS i jak się przed nim chronić w 2026 roku — DDoS może przeciążyć serwery DNS i utrudnić korzystanie z usług sieciowych.