Cos'è il DNS e come funziona davvero?

Ogni dispositivo su Internet è raggiungibile tramite un indirizzo numerico: un indirizzo IP. Nessuno vuole ricordarsi 172.64.80.1, quindi usiamo i nomi: example.com. Il DNS, il Domain Name System, è il servizio di directory che traduce il nome che digiti nell'indirizzo di cui un computer ha davvero bisogno. Lo si dà per scontato proprio perché funziona in modo così affidabile in background in quasi ogni richiesta di rete che fai.

Il lookup, passo dopo passo

Quando visiti un dominio per la prima volta, il tuo dispositivo non ne conosce già l'indirizzo IP. Lo chiede a un resolver, di solito gestito dal tuo ISP o da un provider pubblico come Cloudflare o Google, perché lo scopra. Nemmeno quel resolver conosce necessariamente la risposta, quindi risale una catena di autorità:

1. Un server root lo indirizza verso i server responsabili del dominio di primo livello del dominio (.com, .org, .io e così via).
2. Il server TLD lo indirizza verso i nameserver autorevoli del dominio specifico: i server che il titolare del dominio ha effettivamente configurato.
3. Il nameserver autorevole restituisce il record vero e proprio: l'indirizzo IP (o gli indirizzi) a cui il dominio punta al momento.

L'intera catena di solito si completa in ben meno di un secondo e il risultato viene poi messo in cache, in modo da non doverla ripetere a ogni singola richiesta: ne parliamo meglio nella sezione sul TTL qui sotto.

Un esempio concreto, dall'inizio alla fine

Supponi che a un resolver con la cache vuota venga chiesto di risolvere blog.example.com. Per prima cosa interroga un server root, che non conosce la risposta ma sa chi gestisce .com e indirizza il resolver lì. Anche il server TLD di .com non conosce la risposta finale, ma sa a quali nameserver delega example.com stesso (ns1.dnshost.com e ns2.dnshost.com, ad esempio) e indirizza il resolver da loro. Solo a questo punto il resolver interroga un server che contiene davvero i record di example.com, e quel server, quello autorevole, risponde con la risposta vera: un record A oppure un CNAME da seguire per un ulteriore passaggio. Ogni passo di quella catena è a sua volta un lookup DNS, ed è per questo che il primo lookup (a freddo) di un dominio è misurabilmente più lento di tutti quelli successivi, una volta che le risposte intermedie sono in cache.

La cache agisce su più livelli, non solo sul resolver

Il resolver ricorsivo non è l'unico posto in cui una risposta viene messa in cache. La maggior parte dei sistemi operativi mantiene una propria cache DNS di breve durata e alcuni browser ne tengono una separata sopra a quella. È un secondo motivo, comune, per cui due lookup dello «stesso» dominio possono sembrare in disaccordo: non sempre è un resolver diverso che dà una risposta diversa, a volte è il tuo stesso computer che serve una copia locale un po' obsoleta mentre una query diretta e fresca mostrerebbe già quella attuale.

I tipi di record che incontrerai davvero

«Record DNS» non è una cosa sola: un dominio contiene affiancati diversi tipi di record, ciascuno dei quali risponde a un diverso genere di domanda. Un lookup dell'indirizzo IP di un dominio ne tocca sempre e solo due; gli altri esistono per scopi completamente distinti.

Perché è importante anche se non tocchi mai direttamente i record DNS

Capire questo flusso fa tornare molti comportamenti altrimenti confusi: perché una modifica DNS non ha effetto all'istante, perché un dominio può risolversi benissimo da una rete e fallire da un'altra e perché «il sito è giù» a volte si rivela un problema di DNS e non affatto un problema di server. Strumenti come questo saltano direttamente all'ultimo passaggio: interrogano direttamente un resolver pubblico vicino alla fonte autorevole e ti mostrano esattamente cosa restituisce, così puoi vedere lo stato attuale reale del DNS di un dominio senza andare a indovinare.

Spiega anche perché «DNS» e «Internet» vengano confusi così spesso nel troubleshooting informale. Il DNS non trasporta il tuo traffico, non ospita i tuoi contenuti e non esegue la tua applicazione: risponde sempre e solo a una domanda, «a quale indirizzo punta questo nome adesso». Tutto ciò che accade dopo (la connessione vera e propria, il caricamento della pagina, la risposta dell'API) è un sistema completamente separato, ed è proprio per questo che vale la pena isolare il DNS come passaggio a sé, verificabile in modo indipendente, prima di presumere un problema molto più grande.