Fondamenti del DNS, risoluzione dei problemi, sicurezza e flussi di lavoro pratici, scritti dal team che sviluppa questo strumento.
Un passaggio graduale batte uno istantaneo
Blue
100% del traffico
Ripartizione ponderata
95/5, poi 50/50
Green
100% del traffico
Spostare il traffico tra due ambienti con una modifica DNS sembra semplice sulla carta, ma TTL e caching complicano le cose nella pratica.
Un IP, un server, oppure un IP, molti
Unicast
Un IP corrisponde a un solo server
Anycast
Un IP, annunciato da molte sedi
Lo stesso indirizzo IP annunciato da decine di sedi insieme: l'anycast è ciò che rende veloci e resilienti i grandi provider DNS in ogni parte del mondo.
Perché un lookup mostra la CDN e non l'origine
Visitatore
cerca il dominio
Edge della CDN
104.21.x.x
è ciò che restituisce il DNS
Server di origine
IP reale, mai esposto
La vera magia di una content delivery network avviene a livello DNS, prima ancora che venga richiesto un solo byte di contenuto.
Ogni intervallo IPv4 ha un equivalente IPv6
Dal punto di vista della sicurezza, IPv6 non è solo «IPv4 con più indirizzi»: alcune differenze cambiano davvero il modello di minaccia.
Vincere la gara con una risposta falsificata
Attaccante
anticipa la risposta reale
Risposta falsificata
arriva per prima
Cache del resolver
avvelenata per chiunque la condivida
Falsificare le risposte DNS per dirottare il traffico è uno dei trucchi più vecchi delle reti, e il motivo per cui esistono DNSSEC e le difese dei resolver.
Spazio di indirizzi pubblico e privato
IP pubblico
192.0.2.10
univoco globalmente: instradabile da ovunque
Intervalli privati
non instradabili sulla rete pubblica
10.0.0.0/8, 192.168.0.0/16 e gli intervalli vicini esistono proprio per non essere mai univoci a livello globale: ecco perché è importante per il DNS.
L'SSRF trasforma un server in un proxy involontario
Attaccante
costruisce un URL ad hoc
Server vulnerabile
lo recupera, ingannato dall'SSRF
169.254.169.254
l'endpoint dei metadati
Credenziali
restituite all'attaccante
Un solo indirizzo IP dall'aspetto non instradabile dà alle istanze cloud accesso a credenziali e configurazione, ed è un bersaglio SSRF molto comune.
Lo stesso indirizzo, quattro modi diversi di scriverlo
Il server-side request forgery spesso parte da un semplice nome di dominio che il tuo server è stato indotto a risolvere e a richiamare.
Lo stesso dominio, due risposte diverse
Prima richiesta
si risolve in un IP pubblico
Convalida
superata: sembra sicuro
Scade il TTL
pochi secondi dopo
Seconda richiesta
si risolve in 127.0.0.1
Un dominio che prima si risolve in un indirizzo sicuro e poi in uno interno: il DNS rebinding trasforma il DNS stesso in una superficie di attacco.
Quattro livelli, da controllare in ordine
DNS
risolve il nome
Trasporto
TCP si connette
TLS
il certificato è valido
Applicazione
HTTP risponde
Quel generico errore del browser copre diverse cause non correlate: il DNS è spesso il modo più rapido per confermarne o escluderne una per prima.
La «propagazione» è solo la scadenza delle cache
0 min
salvi la modifica
0-5 min
il provider DNS si aggiorna
fino al TTL
vecchia risposta ancora in cache
dopo il TTL
tutti vedono la nuova
Nulla viene inviato in giro: ogni cache smette semplicemente di riusare la propria copia
Hai aggiornato un record, hai aspettato e sembra ancora sbagliato. Prima di pensare che qualcosa sia rotto, controlla questi punti in ordine.
Quanto tempo dovrebbe richiedere un lookup
Un sito lento a caricarsi è a volte un lookup DNS lento sotto mentite spoglie. Ecco come capire la differenza e quali sono le cause più comuni.