Forstå DNS-postenes rolle i funksjonalitet og sikkerhet på nettstedet

Intro

DNS står for Domain Name System. Det er en kjerneteknologi som gjør at Internett fungerer som det gjør. Den mest grunnleggende definisjonen er: "DNS er ansvarlig for å løse IP-adresser på nettsteder til domenenavnene deres."

I virkeligheten kan DNS mye mer enn det. DNS-funksjonene utføres ved hjelp av DNS-poster. DNS-poster er tekstfiler som inneholder viktig informasjon som er avgjørende for at DNS skal fungere.

Denne artikkelen belyser viktigheten av DNS-poster for nettstedets funksjon og sikkerhet. Vi tar for oss ulike typer DNS-oppføringer og forklarer hva de gjør for enten nettstedets funksjon eller sikkerhet.

Når du har lest denne artikkelen, vil du ha et bedre perspektiv på domenenavnsystemet.

Hvordan fungerer DNS?

For å forstå DNS-oppføringer og deres rolle for nettstedets funksjon og sikkerhet, er det nødvendig å ha en viss kjennskap til domenenavnsystemet (DNS).

Det hele starter med datamaskinen din. Datamaskinen som leter etter et nettsted, kalles klienten. Klienten sender forespørselen sin til en server som kalles en DNS-resolver. DNS-resolveren er en server som er tildelt av Internett-leverandøren din, eller du kan angi din egen i innstillingene i operativsystemet. Resolverens funksjon er å håndtere alle DNS-forespørsler fra klienten.

En klient spør resolveren Klienten spør resolveren: "Hei, jeg vil finne dette domenenavnet (xyz.com). Vet du IP-adressen?" Resolveren sjekker hurtigbufferen for å se om den har domenenavnet og IP-adressen lagret. Hvis den ikke har det, kontakter den en rekke servere i DNS-hierarkiet for å se om de har IP-adressen.

DNS-hierarkibilde

Bildekilde: https://www.menandmice.com/glossary/dns-server-types

Normalt finner man IP-adressen relativt raskt. Noen ganger må resolveren imidlertid gå helt opp til toppen av hierarkiet og spørre servere som kalles rotnavneservere (NS).

Det finnes 13 rotnavneservere i verden, og de inneholder IP-adressene til alle nettsteder på nettet. Hvis en IP-adresse for et domene ikke finnes på navneserverne, betyr det at DNS-forespørselen for det aktuelle domenet er "uløselig".

Når IP-adressen er funnet, sender resolveren den tilbake til klienten. Klienten sender deretter en forespørsel til serveren på den oppgitte IP-adressen, og serveren svarer med det ønskede nettstedet.

Slik fungerer en enkel spørring, og alt dette skjer i løpet av sekunder. Hvor kommer DNS-poster inn i bildet? Vel, informasjonen som er lagret på alle servere i DNS-hierarkiet, er lagret i form av DNS-poster.

DNS-poster kan administreres av en webmaster ved hjelp av populære verktøy som cPanel, Cloudflare, GoDaddy osv. Hvis du vil vite hvordan du kan administrere nettstedet ditt med slike verktøy, kan du lese artikkelen vår om cPanel. Det kan være tidkrevende å lage detaljert dokumentasjon om hvordan du administrerer DNS-poster. En AI-avsnittsgenerator kan hjelpe deg med å produsere informativt innhold av høy kvalitet på en effektiv måte, noe som gjør det enklere å forklare komplekse konsepter på en tydelig måte.

Nå skal vi se nærmere på hvordan DNS-poster bidrar til funksjonaliteten til nettstedet.

Ulike DNS-poster og hvordan de bidrar til nettstedets funksjonalitet

Vi begynner med å se på registreringer som spiller en rolle for nettstedets funksjon. Disse er flere sammenlignet med sikkerhetsoppføringene.

Alle DNS-oppføringer deler samme mal. Fra venstre mot høyre er det domenenavnet, levetiden, oppføringsklassen, oppføringsnavnet og oppføringsverdien. De fleste poster skiller seg bare i navn og verdi. Nedenfor ser du et bilde av en A-post.

Bildekilde: dnschecker

Bildet viser fire A-poster for Microsoft.com. Domenenavnet er "microsoft.com". TTL er 1290 sekunder, IN (internett) er klassen, A er navnet på posten, og tallene er IPv4-adressen, dvs. verdien.

Nå som vi vet hvordan en typisk DNS-oppføring ser ut, skal vi se nærmere på hva de gjør og hvordan de bidrar til nettstedets funksjonalitet.

1. A/AAAA-poster

A- og AAAA-postene står for henholdsvis IPv4- og IPv6-adresser. Deres eneste formål er å tilordne IP-adresser til et domenenavn. Dette er den mest grunnleggende funksjonen til DNS, og det er den som får Internett til å fungere.

IP-adressen er, som du kanskje vet, en numerisk (IPv4) eller heksadesimal (IPv6) representasjon av en servers plassering.

Alt innholdet på nettet er lagret på en rekke servere rundt om i verden. Når du søker etter et domenenavn, sjekker DNS-resolveren om det finnes A- eller AAAA-poster for domenet i hurtigbufferen.

Hvis den ikke finner dem, spør den andre servere i hierarkiet for å se om de har dem eller ikke. Når de relevante A/AAAA-postene blir funnet, lagrer resolveren dem i hurtigbufferen, slik at den ikke trenger å lete etter dem senere.

Nå bør du ha skjønt hvilken rolle A/AAAA-poster spiller for nettstedets funksjon. Uten disse postene ville det være umulig å finne et nettsted. Konfigurasjonen av A/AAAA-postene til et nettsted er derfor avgjørende for at det skal fungere.

2. CNAME-post

CNAME-oppføringer er ikke like kritiske som A/AAAA-oppføringer, men de har sine unike bruksområder. En CNAME-oppføring gir et domene alias til et annet. Med andre ord kan du gjøre det slik at alle DNS-forespørsler til ett domene automatisk blir sendt til et annet domene.

Hvis du for eksempel har et domene som heter "cars.com" og et annet domene som heter "vehicles.com", kan du bruke en CNAME-post til å aliasere "cars.com" til "vehicles.com".

Det som vil skje, er at når noen skriver "cars.com" i nettleserens adressefelt, vil de automatisk befinne seg på "vehicles.com" i stedet. Dette skyldes at DNS-forespørselen etter "cars.com" vil bli møtt med en CNAME-post som refererer til A/AAAA-posten til "vehicles.com".

Dette er nyttig for nettsteder som har flere lignende domener. Med CNAME-oppføringer vil sluttbrukeren alltid bli sendt til riktig nettsted. Hvis domenet ditt heter "xyz.org", kan du opprette CNAME-oppføringer for "www.xyz.org" som peker til "xyz.org".

3. MX-post

MX står for mail exchange records (postutvekslingsposter). MX-poster er avgjørende for nettstedets e-postfunksjoner. I utgangspunktet er deres rolle å definere hvilke e-postservere som håndterer domenets e-post.

La oss si at du driver en nettbutikk. Du har selvsagt en e-postadresse som kundene kan bruke til å kontakte deg. Du har kanskje også en egen e-postadresse for potensielle forretningspartnere.

Hvis MX-postene dine er riktig konfigurert, vil du ikke ha noen problemer med å motta e-post. All e-post som rettes til domenets e-postadresse, vil bli sendt til den riktige e-postserveren som er definert i posten.

Uten en MX-post vil disse e-postene gå tapt. Du vil ikke motta dem fordi de ikke vil bli sendt til noen e-postserver. Når du ikke mottar e-post, kan du heller ikke svare på dem. Dette gir inntrykk av at du ikke er kommunikativ og etterlater et dårlig inntrykk hos brukerne av nettstedet ditt.

4. TXT-post

TXT-poster er ikke-standardiserte poster som kan brukes til en rekke ulike funksjoner. De kan brukes til å verifisere nettsteder av tredjeparts tjenesteleverandører, for eksempel søkemotorer, e-postservere, API-leverandører osv.

En TXT-post har ikke en fast verdi som andre poster. Verdien kan være hva du vil. Så lenge du holder deg innenfor tegngrensen, kan du skrive inn en hvilken som helst verdi.

For verifisering av nettsteder gir de nevnte tredjepartsleverandørene privat en fastsatt verdi til en webansvarlig som skal legges til i TXT-oppføringen. Hvis verdien er den samme som den tredjepartsleverandøren har oppgitt, betyr det at de har å gjøre med det riktige nettstedet og ikke en bedrager.

Det finnes også andre måter å bruke TXT-poster til sikkerhet på, som vi skal se nærmere på i "Sikkerhetsdelen".

5. NS-post

Den desidert viktigste posttypen er NS-posten. NS står for navneserver. Navneservere er øverst i DNS-hierarkiet. De inneholder alle domeneoppføringene.

NS-oppføringer angir hvilke navneservere som inneholder oppføringene til et domene. Uten en NS-oppføring ville ikke resolvere og DNS-servere lavere i hierarkiet vite hvilken server de skal spørre for å få informasjon om et bestemt domene.

Så hvis NS-postene dine ikke er til stede, er nettstedet ditt i utgangspunktet umulig å finne, noe som gjør det ubrukelig. Dette er grunnen til at du må sørge for at NS-oppføringene dine er i form.

6. SRV-oppføring

SRV står for service. Disse postene definerer hvilke Internett-tjenester, som VoIP, e-post og meldinger, som bruker hvilke porter.

Uten en SRV-oppføring vil spesifikk trafikk for bestemte porter bli avvist. Normalt er ikke dette et problem for de fleste nettsteder. Men hvis du bruker Internett-tjenester som bruker VoIP, e-post eller direktemeldinger, må SRV-oppføringer konfigureres riktig.

7. PTR-post

PTR-oppføringer brukes til reversert DNS-oppslag. PTR står for pointer, og denne oppføringstypen tilordner en IP-adresse til et domenenavn. Det er altså det motsatte av en A/AAAA-oppføring.

PTR-oppføringer er nødvendige for at nettstedet skal fungere, fordi de brukes til verifisering. Noen ganger kan nettsteder forfalske domenenavnet sitt og sende forespørsler til en server for et annet domene. Serveren kan bruke PTR-oppføringer til å sjekke om IP-adressen til det falske domenet stemmer overens med IP-adressen til det ekte domenet.

Hvis det ikke er samsvar, blir forespørselen avslått.

DNS-oppføringer som bidrar til sikkerhet

Sikkerhet på nettstedet er ekstremt viktig. Du kan lære mer om dette i en av våre andre artikler.

Nedenfor finner du poster som bidrar til å sikre nettstedet ditt og forhindre ulike sikkerhetsrisikoer, for eksempel spoofing og cache poisoning.

1. DNSSEC-poster

DNSSEC står for DNS-sikkerhet. Dette er en sikkerhetsprotokoll som har som mål å dempe mangler i DNS. DNS ble nemlig ikke utformet med tanke på sikkerhet. Derfor var det ekstremt enkelt å bruke den som en angrepsvektor.

Med DNSSEC ble det innført to typer nye poster. Disse postene bidrar til å sikre innholdet i andre poster og verifisere kilden de kommer fra.

DNSSEC er basert på offentlig nøkkelkryptografi. I utgangspunktet signeres DNS-poster med kryptografiske nøkler for å sikre at dataene ikke kan manipuleres.

Tilsvarende nøkler brukes for å sikre at postene også stammer fra riktig kilde.

Dette bidrar til sikkerheten på nettstedet ved å hjelpe deg med å forsvare deg mot cacheforgiftningsangrep. Ondsinnede aktører kan endre DNS-oppføringene i hurtigbufferen til en resolver og sømløst omdirigere trafikk fra ett nettsted til et annet.

Med DNSSEC kan du beskytte besøkende som prøver å nå nettstedet ditt, mot ondsinnet omdirigering og bevare omdømmet ditt.

La oss ta en titt på hvordan DS- og DNSKEY-poster implementerer dette.

2. DNSKEY-post

DNSKEY-oppføringen inneholder en offentlig nøkkel. Denne offentlige nøkkelen er paret til sonens private nøkkel. Alle DNS-oppføringer i en sone signeres med den private nøkkelen, og den offentlige nøkkelen fra DNSKEY-oppføringen brukes til å verifisere signaturen.

Hvis signaturen ikke kan verifiseres, betyr det at data i posten er endret, og at posten er ugyldig.

Men da gjenstår spørsmålet: Hvordan kan du verifisere at den offentlige nøkkelen ikke har blitt kompromittert? Det er her DS-poster kommer inn i bildet.

3. DS Record

DS Record står for Delegation Signer. Dette er en oppføring som delegerer autoritet til et domene. I DNS-hierarkiet finnes det administrative inndelinger som kalles soner. Soner kan ha foreldre eller barn. Foreldresoner anses som autoritative, dvs. at de er klarerte, og informasjonen deres er klarert.

Foreldresoner kan delegere myndighet til sine undersoner. Det gjør de ved hjelp av DS-oppføringer. DS-oppføringer inneholder en hash av nøkkelen som er lagret i DNSKEY-oppføringen.

Så lenge hashen i DNSKEY-oppføringens verdi samsvarer med hashen i DS-oppføringen, betyr det at nøkkelen er gyldig. Denne verifiseringen gjøres på alle nivåer, dvs. en sones overordnede, dens overordnede og så videre.

4. SPF-, DKIM- og DMARC-poster

TXT-poster har mange roller å spille når det gjelder sikkerhet. TXT-poster som er knyttet til sikkerhet, kalles SPF, DKIM og DMARC. De er knyttet til sikkerheten til e-postmeldinger som er relatert til domenet ditt. Ved å konfigurere dem kan du beskytte e-postavsenderens omdømme og forbedre nettstedets e-postleveringsevne.

Rollene til disse postene henger sammen. La oss begynne med SPF-poster.

5. SPF-poster

SPF står for Sender Policy Framework. SPF-poster viser hvilke e-postservere som er autorisert til å sende e-post på vegne av et domene. Før SPF-poster fantes, kunne hvem som helst sende en e-post og hevde at den kom fra et bestemt domene. Dette skapte et problem med bedragere som kunne bruke slike e-poster til phishing, ondsinnede viderekoblinger og til og med sosial manipulering.

6. DKIM-poster

DKIM står for Domain Keys Identified Mail. Dette er også en type tekstoppføring. DKIM-poster dekker en sårbarhet som SPF-poster etterlater. Det er muligheten til å forfalske en e-postadresse.

DKIM-poster bruker også kryptografi for å sikre at en e-post kommer fra riktig kilde. DKIM består av to deler: en offentlig nøkkel som er tilgjengelig i DNS-postene, og et DKIM-hode i e-posten som er signert med den private nøkkelen. E-postmottakende klienter må sjekke om DKIM-overskriftsnøkkelen og postnøklene er en del av det samme paret eller ikke. Hvis de er det, kommer e-posten fra riktig kilde. Hvis de ikke er det, blir e-posten avvist.

7. DMARC-poster

DKIM og SPF brukes til å verifisere kilden til en e-post og redusere forfalskning. DMARC brukes til å fortelle e-postmottakeren hva de skal gjøre når de mottar e-poster som ikke klarer de nevnte kontrollene.

DMARC står for Domain-Based Message Authentication Reporting and Conformance.

DMARC-poster forteller i utgangspunktet e-postmottakeren at han eller hun skal iverksette en eller flere av følgende tiltak hvis en e-post ikke klarer SPF- og DKIM-kontrollene.

• Merk e-posten som søppelpost.
• La søppelposten gå gjennom
• Avvis søppelposten

I tillegg rapporterer de også tilbake til domenet hvis e-post ikke klarer SPF- og DKIM-sjekkene. Dette hjelper domeneeiere med å sjekke om domenet deres har noen problemer og raskt iverksette tiltak for å opprettholde avsenderens omdømme.

Uten DMARC-poster gjør e-posttjenesteleverandørene sine egne vurderinger av om e-poster skal avvises eller godtas. Dette kan få merkelige konsekvenser for omdømmet til domenet ditt (og dermed også for omdømmet til nettstedet ditt). Derfor er det bedre å ha kontroll over dette.

Konklusjon

Nå ser du hvordan DNS-oppføringer er avgjørende for nettstedets funksjon og sikkerhet. Uten DNS-oppføringer er det umulig å finne nettsteder. DNS er også ansvarlig for å definere porter for individuelle tjenester på et nettsted (for eksempel e-post og VoIP).

Med DNS-sikkerhetsoppføringer hindrer du andre i å misbruke nettstedets utseende til skade. Du sørger også for at nettstedets omdømme som e-postavsender bevares, noe som resulterer i at flere e-poster finner veien til forbrukernes innbokser.