Les fondamentaux du DNS, le dépannage, la sécurité et des méthodes de travail concrètes, écrits par l'équipe qui conçoit cet outil.
Une bascule progressive vaut mieux qu'une bascule instantanée
Bleu
100 % du trafic
Répartition pondérée
95/5, puis 50/50
Vert
100 % du trafic
Basculer le trafic entre deux environnements par un changement DNS paraît simple sur le papier ; avec le TTL et le cache, c'est plus nuancé en pratique.
Une IP, un serveur, ou une IP, plusieurs
Unicast
Une IP correspond à un seul serveur
Anycast
Une IP annoncée depuis de nombreux sites
Une même adresse IP annoncée depuis des dizaines de sites à la fois : l'anycast permet aux grands fournisseurs DNS de rester rapides et résilients partout.
Pourquoi une recherche affiche le CDN, pas l'origine
Visiteur
recherche le domaine
Edge CDN
104.21.x.x
c'est ce que renvoie le DNS
Serveur d'origine
IP réelle, jamais exposée
La vraie magie d'un réseau de diffusion de contenu opère au niveau du DNS, avant même qu'un seul octet de contenu soit demandé.
Chaque plage IPv4 a son équivalent IPv6
Côté sécurité, IPv6 n'est pas « de l'IPv4 avec plus d'adresses » : quelques-unes de ses différences changent réellement le modèle de menace.
Gagner la course avec une réponse falsifiée
Attaquant
devance la vraie réponse
Réponse falsifiée
arrive en premier
Cache du résolveur
empoisonné pour tous ses utilisateurs
Falsifier des réponses DNS pour détourner le trafic est l'un des plus vieux trucs du réseau, et la raison d'être de DNSSEC et des défenses des résolveurs.
Espace d'adressage public et privé
IP publique
192.0.2.10
unique au monde : routable de partout
Plages privées
non routables sur Internet
10.0.0.0/8, 192.168.0.0/16 et leurs voisines existent précisément pour ne jamais être uniques à l'échelle mondiale : voici pourquoi cela compte pour le DNS.
Le SSRF transforme un serveur en proxy malgré lui
Attaquant
fabrique une URL de requête
Serveur vulnérable
la récupère, dupé par le SSRF
169.254.169.254
le point de terminaison des métadonnées
Identifiants
renvoyés à l'attaquant
Une seule adresse IP d'apparence non routable donne aux instances cloud l'accès à des identifiants et à leur configuration, et c'est une cible SSRF courante.
La même adresse, quatre façons de l'écrire
Une falsification de requête côté serveur commence souvent par un simple nom de domaine que votre serveur a été piégé à résoudre puis à interroger.
Le même domaine, deux réponses différentes
Première requête
résolue vers une IP publique
Validation
réussie : semble sûre
Expiration du TTL
quelques secondes plus tard
Seconde requête
résolue vers 127.0.0.1
Un domaine qui se résout d'abord vers une adresse sûre, puis vers une adresse interne : le DNS rebinding fait du DNS lui-même une surface d'attaque.
Quatre couches, vérifiées dans l'ordre
DNS
résout le nom
Transport
TCP se connecte
TLS
le certificat est valide
Application
HTTP répond
Ce message d'erreur générique recouvre plusieurs pannes sans rapport entre elles : le DNS est souvent le moyen le plus rapide de l'écarter ou de le confirmer en premier.
La « propagation » n'est en fait que l'expiration de caches
0 min
vous enregistrez la modification
0-5 min
votre hébergeur DNS se met à jour
jusqu'au TTL
l'ancienne réponse reste en cache
après le TTL
tout le monde voit la nouvelle
Rien n'est poussé nulle part : chaque cache cesse simplement de réutiliser sa copie
Vous avez modifié un enregistrement, attendu, et rien n'a changé. Avant de conclure à une panne, passez en revue ces vérifications dans l'ordre.
Ce que devrait coûter une recherche en temps normal
Un site qui charge lentement est parfois une recherche DNS lente déguisée. Comment faire la différence, et quelles en sont les causes habituelles.