Quién es es <img_dns server_usuario query BD dirip>

Transcripción

1 2.2QueesDNS El Sistema de Nombres de Dominio, también denominado DNS (Domain Name System), corresponde a un sistema diseñado con la finalidad de proveer nombres relacionadosadispositivosorecursosenred,yaseaapequeñaoaltaescala(como porejemplo,lainternet). En palabras simples, este sistema está compuesto por una gran Base de Datos encargada de almacenar nombres conocidos asociados a direcciones de red(como por ejemplo, direcciones IP) y por un sistema encargado de administrar continuas consultasporpartedelosusuariossobreestabasededatos. Quién es DNS Server es <img_dns server_usuario query BD dirip> Como podemos ver en la imagen anterior, nuestro servidor DNS actúa como un intérprete, encargado de buscar cuál es la ubicación asociada ( ) a nuestronombrededominioconocido( Este sistema surge como reemplazo de las Tablas locales de Hosts (denominadas HOSTS o HOSTS.TXT [1]), Tablas que almacenan la información de nombres asociados a direcciones de red (en archivos de texto plano) y se transportan manualmentedeundispositivoaotro(porejemplo,atravésdeftp[1]).estatarea deenvíoerarealizadaantiguamenteporlosnetworkinformationcenters(onics), tareaquehoyhasidoreemplazadaporlaadministracióndeservidoresdns,lacual seencuentragestionadaporelmismotipodeinstituciones.

2 movil_1?!"#$% &$%'($% hosts hosts hosts movil_1? Name Server Name Server telefono? hosts hosts hosts: servidor: movil_1: telefono: hosts: servidor: movil_1: telefono: <img_nic a todos(antes)_versus_todos a NIC(ahora)> Como podemos inferir de la imagen anterior, hoy en día se haría muy difícil la administracióndenombresdedominioenlainternetenviandolastablasdehostsa todoslosusuarios,yaque: El consumo de Ancho de Banda en la transmisión de Tablas de Hosts hacia todos los dispositivos sería muy alto, pues básicamente la cantidad de dispositivos de red interconectados que componen el conjunto llamado Internetesmuygrande.SeestimaquelaproporcióndeAnchodeBandaen unaredescuadráticarespectoalnúmerodehosts(dispositivosdered)que lacompone,locualharíaconsiderablementealtoelusodeanchodebanda porpartedecadanicquedistribuyesuinformaciónalosusuarios[1]. Delpuntoanterior,seextiendeelhechoquelasredesdealtaescalahoyen día son Dinámicas (es decir, que su estructura no es fija bajo un cierto estándar), lo que produciría un alto consumo de recursos por parte de los NICs para mantener correctamente estructuradas (y distribuidas a los usuarios)lastablasdehosts(altocosumoderecursoscomputacionales,de AnchodeBandaydeTiempo). Existen entidades (como por ejemplo, grandes empresas) que desean administrardeformaautónomasupropioespaciodenombres[1].estosería imposiblederealizarsilainstituciónnocorrespondeaunnic.enlasección siguientesedescribeelconceptodejerarquíaenlatopologíadereddedns, topología que permite separar espacios de nombres para las distintas entidadesquecomponenlared.

3 Hoy en día, el Sistema de Nombres de Dominio actúa de forma distribuida con Servidores alrededor de todo el mundo, donde cada uno de éstos se encarga de proveerunaovariasporcionesdelespaciodenombresquecomponenelconjunto total de Dominios presentes en la red [2]. Este concepto se examina más extensamenteenlasecciónsiguientedeestedocumento. 2.3ComofuncionaDNS 2.3.1Introducción El Domain Name System (o DNS) actúa como un sistema distribuido alrededor de todo el mundo, que a través de servidores estructurados en forma de Árbol jerárquico se encarga de interpretar nombres conocidos en direcciones de red (principalmente,direccionesip). El hecho que se hable de una estructura Jerárquica quiere decir que existen divisiones (dados ciertos parámetros) para administrar de forma ordenada los subespaciosdenombresqueconformanlareddnsalrededordelmundo. Hoyendía,laAutoridaddeNúmerosAsignadosalaInternet(oIANA)haacordado jerarquizarlosnombresdedominio[3]pornivelesenunaestructuratipoárbol. ROOT COM NET ORG... AR US CL... EMOL GOOGLE ICANN WIKIPEDIA GOOGLE UDP WWW MAIL WWW MAIL WWW MAIL <img_arbol DNS_gTLDs_TLDs_algunos dominios bajo xtlds_con UDP.CL.>

4 Delaimagenanterior,podemosdefinirlosiguiente: Zona:SedefinecomocadaNodopresenteenelÁrbol. EspaciodeNombresdeDominio:SedefinecomoelÁrbolcompleto. RootZone(ZonaRaíz):SedefinecomolaZonaPadredetodoelÁrbol(obase deéste).estazonaesgestionadadeformadistribuidaatravésdemúltiples Servidoresalrededordelmundo. ActualmentelosServidoresdelaZonaRaízsedividenengruposetiquetados delaletraaalaletram,etiquetadosdelaformaletra.root SERVERS.NET [16]. Así mismo, cada subdivisión (o letra) corresponde a una Grilla de Servidores dispersos alrededor del mundo, donde cada letra se coordina a travésdeunainstituciónenparticular,comoporejemplolanasa,laisc,la ICANN,entreotros. Dominio: Se define como cualquier subárbol del Espacio de Nombres de Dominio. Nivel:SedefinecomoladistanciaentrelaZonaRaízycualquierotraZona. Top Level Domain (TLD): Se define como cualquiera de los Dominios correspondientes a las Zonas ubicadas en el segundo nivel de la imagen previa.sehabladetop Level(onivelsuperior)yaqueseomitelaexistencia delazonaraízalhablardeestaszonas. LaIANAhaasignadolosTLDsdeacuerdoalos2siguientesgrupos: TLDGenérico(ogTLD):CorrespondientealasZonasEDU,COM,NET, ORG,GOV,MILeINT. TLD por País (o cctld): Correspondiente a cada País del mundo. El códigodecadacctldestáasignadoporlaiso3166[5]. NombredeDominio:SedefinecomocualquierEtiquetageneradaapartirde laraízdelárbolhastaalgunadesushojas(nodoubicadoenelnivelmásbajo delárbol). Time To Live (TTL): Corresponde a un intervalo de tiempo (en segundos, minutos, horas, días, etcétera) asignado para almacenar de forma temporal las respuestas a las preguntas DNS consultadas (por si estas preguntas se hacendeformarepetitivaenesteintervalodetiempo). Como ya vimos en las definiciones anteriores, el Servicio provisto en DNS se distribuye desde su primer nivel (la Zona Raíz, que se encuentra distribuida de la letra A ala M ).ElNivelcorrespondienteatodoslosTLDtambiénseencuentra distribuido, pues cada país gestiona su propio cctld a través de su NIC correspondiente. Los gtlds son administrados de forma distribuida alrededor del mundo por diversas Instituciones, las cuales son coordinadas entre ellas por la ICANN[6].

5 ROOT... COM ORG AR US CL... ICANN ICANN NIC ARGENTINA NIC USA NIC CHILE GOOGLE UDP <img_nic chile_nic ar_com_net_etc> ProcesodeResolucióndeNombres AhoraveamoscomoseinterpretaunNombredeDominio,ycomollegamoshaciaél a través de un ejemplo. Supongamos que tenemos el Nombre de Dominio y nosotros como Clientes queremos saber cuál es su dirección IP asociada;esdecir,saberenquélocalidadestáubicado.lasiguienteimagenilustrael procesodeinterpretación,llamadoresolucióndenombres:

6 ROOT 2. No lo sé, pregúntale a CL 1. Quién es 4. No lo sé, pregúntale a UDP.CL 3. Quién es CL 5. Quién es es UDP connect() <img_dig_con delegacion> WWW Vamosviendopasoporpasoloexpuestoenlaimagenanterior: 1. Tenemos en nuestras manos el Nombre de Dominio pero no sabemos cuál es su dirección IP correspondiente. El Nombre de Dominio se leeensuformatodederechaaizquierda,dondesepartedesdelazonaraíz hastallegaralahojadelárbol:!!!"#$%"&'"( Subdominio para Sitio Web TLD Zona asignada a la UDP <img_www.udp.cl.> Zona Raíz LaRutaenelÁrbolDNSvadesdelaRaíz(sepuedeomitirelpuntoalfinaldel NombredeDominio),pasaporunTLD(enestecaso,CL),luegosellegaala Zona UDP.CL, la cual nos indica la ubicación del Nombre de Dominio preguntado, 2. ElprocesodeconsultaDNS(oDNSquery)seefectúadelasiguienteforma:

7 PreguntamosalaZonaRaíz, Quiéneswww.udp.cl.?.LaZonaRaízno sabelarespuesta,peronosdice nolosé,peromisregistrosindican quelazonacl.puedesaberlo,hazlelamismaconsultaaestazona (yaqueeslazonaquelesigueenelnombrededominioconsultado). Preguntamos a la Zona CL., Quién es La Zona CL no sabelarespuesta,peronosdice nolosé,peromisregistrosindican que la Zona UDP.CL. puede saberlo, hazle la misma consulta a esta Zona (ya que es la Zona que le sigue en el Nombre de Dominio consultado). PreguntamosalaZonaUDP.CL., Quiéneswww.udp.cl.?.Finalmente, esta Zona si sabe quién es este nombre de dominio, respondiendo es Se dice que esta última Zona ha respondidoconautoridad. 3. Elfenómenoindicadoenelprimerysegundopasodelospuntosanteriores se denomina Delegación de Autoridad. Básicamente, consiste en delegar todotipodetareas(comopreguntarpornombres)queunservidordnsno puedamanejarensutotalidadhaciaotroservidordnsubicadomásabajoen elárbol. 4. Losactoresdefinidosenesteprocesosedividenen2tipos: Servidor (o Name Server ): Se define como cada uno de los servidores encargados de administrar una Zona en particular[1]. Cada Servidor gestiona tanto su propia Zona correspondiente en la jerarquía DNS como sus Zonas hijas, a no ser de que éstas sean gestionadas por algún Servidor Hijo. En este último caso, el primer Servidor gestionará la información asociada a la DelegacióndelaAutoridadhaciaunServidorHijo. En el ejemplo anterior, podemos identificar 3 Servidores s: ROOT (que maneja sólo la Zona Raíz), CL. (que manejasólolazonacl.)yudp.cl.(quemanejalazonaudp.cl.y todassushijas comowww.udp.cl.,mail.udp.cl.,etcétera). Servidor Resolver(o Name Server Resolver, o NS Recursivo): Se definecomoeldispositivoqueseencargadehacerlaspreguntasy recibirlasrespuestasdeunservidor[1].hoyendía existe un sinnúmero de Servidores Resolvers (informalmente llamados Resolvers), compatibles con la mayoría de los Sistemas Operativospresentesenelmercado.

8 Enlapráctica,hoyendíaseutilizanResolversasociadosacadaISP para evitar la instalación de nuevos programas por parte de los usuarios y para disminuir la cantidad de consultas DNS que haga un grupo de usuarios al utilizar la resolución de nombres en la Internet. Este último beneficio es logrado a través del almacenamiento temporal de las consultas DNS hechas por un ResolverenunsistemaCaché(denominadoNameServerResolver Caché), el cual guarda por un tiempo limitado las direcciones IP asociadas a los Nombres de Dominio consultados (tiempo dado poreltime To LivedelarespuestaalaDNSquery).Estapráctica evita efectuar muchas veces una consulta DNS en particular por un intervalo de tiempo determinado, acción que consumiría AnchodeBanda demás,tantoporpartedelresolvercomopor partedelservidor. ROOT 2. No lo sé, pregúntale a CL 1. Quién es 4. No lo sé, pregúntale a UDP.CL Quién es CL 3. Quién es es Cliente 5. Quién es Resolver 6. es UDP connect() WWW <img_dns query con Resolver Cache> De forma adicional, cabe destacar que la IANA opera con un TLD especial llamado ZonaARPA.EstaZonaseencargadeproveerunserviciodenominadoDNSreverso, el cual como su nombre lo dice se encarga de responder (con Autoridad) con un NombredeDominio(ysólouno)enbaseaunapreguntaDNSpordirecciónIP.

9 Quién es DNS Server es Quién es ? es Reverse DNS Server <img_dns query tradicional_versus_dns reverso> 2.4ResourceRecords En un Servidor DNS, los Resource Records(abreviados como RRs) se definencomocadaunodelosregistrosquecontienenlainformaciónacercadesu Dominio asociado. Estos registros se dividen por el tipo de información que almacenanyentregan(deigualformaqueunabasededatosdividesusregistrospor tipodedatos).veamosacontinuaciónunalistadelosrrsmásutilizadoshoyendía: A (IPv4 Address): Este registro es el más utilizado en Servidores s, ya que básicamente corresponde al registro de respuesta correspondienteaunadirecciónipde32bits(versión4)dadaunaconsulta DNSdeestetipo[7].LarespuestadelServidorenelejemplode la sección 2.3 corresponde a un registro tipo A (este registro es el más consultadoporlosusuariossobrelosservidoress). AAAA(IPv6Address):CuentaconlamismafuncionalidadqueelRegistroA, pero está orientada para respuestas de direcciones IP en versión 6 (direccionesde128bits)[8]. CNAME(Canonical Name): Corresponde a un registro del tipo alias. Esto significa que identifica con algún nombre adicional a algún otro RR (de cualquiertipo)yaexistente[7].porejemplo,elregistrowww.udp.clpuede contar con un CNAME (o alias) llamdo xxx.udp.cl, que responderá de la mismaformaquewww.udp.clenunaquerydns. MX (Mail Exchange): Registro encargado de especificar los Servidores de Correo asociados a un Nombre de Dominio en particular [7]. Permite de

10 forma adicional priorizar múltiples Servidores de Correo asociados a un NombredeDominioenparticular,demaneradeadministrarlacargadelos serviciosdecorreoentranteenestosservidores. NS (Name Server): Registro encargado de efectuar la Delegación de AutoridaddeunServidoraotro[7].Esteprocesoseencuentra expuestoconmásdetalleenelcapítulo2.3. PTR(Pointer):RegistroasociadoalasrespuestasdeDNSreversoporparte de un Servidor [7,9]. Este proceso se introduce al fina de la sección2.3. SOA (Start Of Authority): Este registro especifica información autoritativa acerca de su Dominio asociado [7,10], como el Servidor de nombres Primario,contactoconelAdministradordeZona(e mail),númerodeserie deldominioytiempodevidadeesteregistro. El Número de Serie (informalmente denominado Serial) del registro SOA indica la fecha y versión en que este registro ha sido creado, para sincronizar el proceso de Transferencia de Zonas entre los Servidores SecundariosyelServidorPrimarioqueconformanelconjuntodeServidores s(versección2.5) año mes día versión <img_serial_ejemplo> TXT(Text): Registro destinado para agregar cualquier tipo de información en texto plano (decidible por el Administrador de Zona) [7]. Puede ser utilizado para implementar cualquier función que no esté provista por los servidoresdnstradicionales[11]. AhoraquesabemoslosprincipalestiposdeResourceRecordsqueexisten,eshora de ver cómo se estructura uno propiamente tal. Veamos la siguiente imagen, que explicaamododeejemplo,ladeclaracióndeunrr:

11 IN A nombre TTL clase tipo valor <img_rr_a_ejemplo> Comopodemosinferirdelaimagenanterior,elRRquesemuestracorrespondeaun apuntador tipo A que identifica a la dirección con el nombre anteriormente, el cual se define como el tiempo que este registro se mantendrá almacenadoenelcachédelosresolversqueconsultenesterr.laclaseinseusa mayormente en servicios de DNS en la Internet (de ahí su nombre); Sin embargo existen otras Clases asignadas a otros servicios, como Chaos (CH) y Hesiod (HS), entreotras[17]. De forma adicional a los principales tipos de Resource Records existentes, definiremosunconceptocomúnmenteusadoenlaespecificacióndeservidoresde Nombres s, los Glue Records. Este concepto nace del problema de la especificación de las direcciones IP para los servidores de nombre alojados bajo el mismo Nombre de Dominio que estamos resolviendo (problema del huevo y la gallina ). Examinemos este concepto a través de un ejemplo: Supongamos que queremos resolver la dirección IP de udp.cl (haremos una petición del registro A de udp.cl). Segúnlodescritoenlasección2.3.2,lospasosaseguirdesdeunResolverseríanlos siguientes: Preguntamos a la Zona Raíz(por ejemplo, a k.root servers.net) quién es udp.cl?.elservidorraízresponde nolosé,peroséquelazonaclpuede tenerinformación,pregúntaleaella. ElResourceRecordasociadoaestarespuestaseríaasí: ns.nic.cl.ina PreguntamosalaZonaCL(enestecaso,ns.nic.cl.o ) quién esudp.cl?.elservidordelazonaclresponde nolosé,peroséquelazona UDP.CLpuedetenerinformación,pregúntaleaella.Esaquídondeocurrela insercióndeungluerecord,pueslarespuestaaestapreguntafuncionaasí: o La Zona CL nos responde: El Servidor ns1.udp.cl puede tener información acerca de udp.cl (suponiendo que ns1.udp.cl es el ServidordelaZonaUDP.CL).

12 o En el paso anterior podemos identificar que la respuesta a la preguntacontieneunsubdominioasociadoalapregunta.esopuede ser visto como un problema, ya que la respuesta a la pregunta es una subparte de la pregunta (problema del huevo y la gallina aplicadoaestecaso). o EnestepasoesdondesurgeelGlueRecord.Pues,pararesponderla pregunta quién es udp.cl primero necesitamos saber quién es ns1.udp.cl (un subdominio de la pregunta). El Glue Record se encargadeproveerunregistroaasociadoalregistronsentregado (ns1.udp.cles ). ElResourceRecordasociadoaestarespuestaseríaasí: ns1.udp.cl.ina Lo anterior finalmente permite dirigirnos a la Zona UDP.CL (gestionada por ns1.udp.cl )ypreguntarle quiénesudp.cl?,respondiendocon unregistroa: udp.cles ElResourceRecordasociadoaestarespuestaseríaasí: ProtocoloDNS A continuación se describe brevemente en qué consiste el proceso de preguntas y respuestasenelprocolodnspararesolvercualquiertipodedatosqueesteservicio provea. Específicamente,seexponedequéestácompuestounPaquetededatosDNSypara qué sirve cada uno de sus atributos más importantes. Una especificación formal acercadeestetipodemensajes(depregunta/respuesta)seencuentraespecificado enelrfc1035[7]. Veamos a continuación la conformación de un Paquete de datos DNS, que es el elementoclaveenlacomunicaciónentreservidoressyresolvers:

13 <img_dns packet on the wire_kaminsky> Comopodemosverenlaimagenanterior,unPaquetededatosDNSsedivideen3 partes: La información acerca de la pregunta/respuesta DNS propiamente tal(dns question or answer Data), información asociada a la transmisión por el Protocolo UDP de este Paquete (UDP Header) y la información asociada a la transmisión de estepaqueteporelprotocoloip(ipheader). Ahoraveamoscadaunadelaspartesmásimportantesdecadaunodelosnivelesde estepaquete: SourceIPAddress:DirecciónIPdeOrigendelPaquete. DestinationIPAddress:DirecciónIPdeDestinodelPaquete. SourcePort:PuertoUDPdeOrigendelPaquete. DestinationPort:PuertoUDPdeDestinodelPaquete. QueryID:Identificadorúnicode16bitsdelProcesodeDNSquery.Elvalor de este atributo será el mismo tanto como para la pregunta(question) comoparalarespuesta(answer)enelprocesoanterior[7].

14 QR (Query): Bit que indica si el mensaje es una pregunta (0) o es una respuestaenelprocesodednsquery[7]. AA(AuthoritativeAnswer):BitqueindicasielPaquetecorrespondeauna respuesta con Autoridad sobre su contenido [7]. En la sección se exponeelconceptoderespuestaconautoridadporpartedeunservidor. RD (Recursion Desired): Bit que indica si la pregunta (question) prefiere hacer uso de un Resolver (Recursivo) para ser contestada. Si este bit se indica como 0 (apagado) el Paquete de Datos DNS tratará de dirigirse directamentealservidorparasercontestado(setratarádeno usarelresolver independientedecualseaelresultadodeestapetición) [7]. RA(RecursionAvailable):Bitasociadoalarespuesta(answer)yrelacionado albitanterior.silarespuestaalaqueryesrealizadaporunresolver(yno porunodelosservidoress),elvalordeestebitserá1[7]. DNS Question or Answer Data: Campo encargado de almacenar las preguntas (questions) y respuestas (answers) en todas las DNS queries asociadas al proceso de consulta DNS (incluyendo respuestas asociadas a DelegacióndeAutoridadyGlueRecords)[15]. Veamos a continuación un ejemplo de Paquete de Datos DNS, el cual especifica todos los campos anteriores, incluyendo detalles acerca de las preguntas y respuestasdeunadnsquery:

15 <img_ejemplo paquete DNS>

16 2.5ServidoresPrimariosySecundarios LosServidoresDNSssedividenen2grupos:LosServidoress PrimariosylosServidoressSecundarios.Sedicequelaunióndeestos2 conjuntosconformalaautoridaddeundominioenparticular. Ambos grupos cumplen con la misma funcionalidad, que es proveer información acercadenombresdedominio.sinembargo,existeunadivisiónentreambostipos deservidoress,yaquesedicequeelprimario(haciendohincapiéquees sólounservidor)actúacomo ServidorMaestro sobrelatotalidaddelosservidores s,ylossecundarios(quepuedenserunoomásservidores)actúancomo ServidoresEsclavos sobrelatotalidaddelosservidoress. Secundario RR question Secundario RR question add RR edit RR delete RR RR question Primario R E P L I C A T I O N Secundario Secundario RR question RR question Secundario RR question <img_servidor primario_servidores secundarios_clientes> Loanteriorprestaunaseriedebeneficios: Escalabilidad del Sistema: El Servidor (como conjunto) adquierelacapacidaddecreceramedidaquelasnecesidadeslorequieran (AnchodeBanda,Cargacomputacional,etcétera).

17 Balanceo de Carga: El Servidor (como conjunto) puede ser capaz de balancear su carga de entrada, agilizando los procesos de DNS queriesparalosresolversquelorequieran. Tiempos de Respuesta más cortos: Al replicar la información de los Servidores s en ubicaciones geográficas estratégicas, obtendremos menores latencias para las DNS queries sobre los Servidores s. De acuerdo a la imagen previa, la Administración de Servidores s con ServidoresPrimarioySecundariosfuncionadelasiguientemanera: Todos los cambios sobre el Servidor (visto como conjunto) se debenefectuarsobreelservidorprimario. La replicación de los cambios efectuados sobre el Servidor Primario se efectuarándeformaperiódicaporlosservidoressecundarios.estesucesose denominatransferenciadezona. LaTransferenciadeZonafuncionadelasiguientemanera[12]: El Servidor Secundario envía una petición al Primario con la opción AXFR (a través de un RR especial con el mismo nombre [7]), donde envíasuinformacióndezona,incluyendosuregistrosoa(queincluye suserial). El Servidor Primario compara el Serial recibido con el suyo (de su propioregistrosoa).sielserialrecibidoesmenoralsuyo( menor significa más antiguo ), se envían todos los Registros de Zona nuevamentealsecundario.sielserialrecibidoesigualalsuyo,nose enviarálazonaalsecundario. Existe una alternativa al uso de AXFR, llamada IXFR(que cuenta con un RR especial, con el mismo nombre [13]). La diferencia de IXFR sobreaxfresquelaprimeraformaselimitaaenviarsolamentelos cambiosdezonaefectuadosdesdeelprimarioalsecundariomientras queelsegundoenvíatodoslosregistrosdezona.

18 Secundario_1 Nueva_Zona Serial(SOA_Primario) > Serial(SOA_Secundario_1) Primario AXFR/IXFR (SOA_Secundario_1) No hay cambios Secundario_2 AXFR/IXFR (SOA_Secundario_2) <img_axfr_secundario query_primario response> ##EOF##