Что такое 8.8.8.8? Адрес, который все вводят и мало кто понимает

Есть адреса, которые не забываются. Я вводил 8.8.8.8 в роутеры в офисных кладовках, в ноутбуки на гостиничном Wi-Fi, в серверы в два часа ночи, пока клиент ждал на телефоне. Это номер, к которому тянутся сетевики, когда ломается разрешение имён, и он работает достаточно часто, чтобы многие, настроив его однажды, никогда не спрашивали, на что они только что направили свой трафик.

Так давайте спросим. 8.8.8.8 — не веб-сайт и не сервер, который вы посещаете. Это парадная дверь Google Public DNS — службы рекурсивной резолюции, которую Google ведёт для всех желающих, бесплатно. Её адрес-сестра, 8.8.4.4, открывает ту же дверь.

Резолвер задаёт вопросы за вас

Каждому устройству нужен рекурсивный резолвер. Когда вы вводите имя вроде example.com, кто-то должен догнать ответ: спросить корень, спросить серверы верхнего уровня, спросить собственные серверы имён домена и принести IP-адрес. Эта погоня — вся работа резолвера. Что такое DNS-сервер аккуратно разделяет роли, потому что «DNS-сервером» называют три разные работы.

По умолчанию вы пользуетесь резолвером вашего интернет-провайдера, молча назначенным при подключении. Направьте настройки вместо этого на 8.8.8.8 — и погоня меняет руки: ваши запросы теперь идут службе Google, а ходят и кэшируют машины Google. Сайты, которые вы посещаете, разницы не замечают. Сменился только посредник.

Один адрес, много городов: как работает anycast

Вот часть, которая удивляет людей. Не существует одной-единственной машины с адресом 8.8.8.8. Один и тот же адрес анонсируется из объектов Google по всему миру — техника называется anycast. Ваш запрос просто приземляется на той площадке, которую маршрутизация вашей сети находит ближайшей и самой дешёвой, — обычно, хотя и не всегда, географически ближайшей.

Anycast покупает две вещи. Первая — скорость: запрос, отвеченный на вашем собственном континенте, пропускает долгое путешествие на другой. Вторая — устойчивость. Если площадка выходит из строя или попадает под атаку, маршрутизация смещается, и тот же адрес начинает отвечать откуда-то ещё. Никому не нужно менять настройку, и большинство пользователей вообще не замечают сбой, который у службы на одной машине был бы очень заметен.

Длинные версии: адреса IPv6

Всё до сих пор было про IPv4. Тот же сервис отвечает и по адресам IPv6 — 2001:4860:4860::8888 и его близнецу, оканчивающемуся на ::8844, — которые проделывают тот же трюк с памятью внутри гораздо более длинной строки. На соединении IPv6, если настроить только знаменитые четыре восьмёрки, может остаться брешь: некоторые устройства тогда тихо начнут использовать заодно IPv6-резолвер провайдера, разделяя ваши запросы между двумя сервисами и путая каждое ваше сравнение. Если экран настроек предлагает оба семейства адресов, заполняйте оба, иначе вы сделали только половину той работы, которую, как вам казалось, вы сделали.

Почему знаменитым стал именно этот адрес

Отчасти дело в самом номере: четыре восьмёрки невозможно запомнить неправильно, а второй адрес службы меняет одну из них на четвёрку. Отчасти — привычка. Годами скрипты поддержки и ответы на форумах использовали 8.8.8.8 как тестовый адрес: пропингуйте его, и если он отвечает, ваше соединение работает, а виноват, скорее всего, DNS. Адрес стал знаменитым потому, что был резолвером, а потом его использовали как резолвер, потому что он был знаменит. Я встречал администраторов, которые ставили его на каждую свою машину и не могли бы сказать, чья это служба. Это был просто «DNS-адрес» — так копировальный аппарат становится «Ксероксом».

Что служба узнаёт о вас

Резолвер видит многое. Каждый ваш запрос раскрывает имя, которым вы интересовались, и адрес, с которого вы его сделали. Переход на 8.8.8.8 не убирает эту открытость; он переносит её — из журналов вашего провайдера в журналы Google. Выбирая резолвер, вы на самом деле выбираете, в чьих руках окажется эта запись, и об этом стоит быть честным с самим собой.

Google публикует, как обращается с этими данными, и общая картина такова: полные журналы запросов хранятся только временно, для поиска неисправностей и работы по безопасности, а данные, хранящиеся дольше, агрегируются и очищаются от деталей, связывающих запросы с человеком. Прочитайте, впрочем, действующую политику, прежде чем полагаться на мой пересказ. Политики меняются, а пересказ — никогда не сам документ.

Зашифрованные двери: DoH и DoT

Классический путь к 8.8.8.8 — обычный DNS, который идёт без шифрования: любой на пути может читать ваши запросы и, в принципе, подменять ответы. Служба отвечает и по зашифрованным транспортам — DNS over HTTPS и DNS over TLS, — которые заворачивают те же вопросы так, что путь больше не может их видеть. DNS поверх HTTPS — объяснение проходит по тому, как работает эта обёртка и что она меняет.

Шифрование меняет, кто может смотреть, а не кто отвечает. Резолвер по-прежнему видит всё; сеть кафе и каждый прыжок между вами и Google — уже нет. Подходит ли вам обмен, зависит от того, какой из этих наблюдателей беспокоит вас сильнее.

Вышибала за ответами: валидация

У сервиса есть вторая работа, о которой никто не пишет на коробке. Для доменов, защищённых DNSSEC, — криптографическими подписями, доказывающими, что ответ действительно пришёл с собственных серверов домена, — резолверы Google проверяют эти подписи от вашего имени. Если проверка не проходит, вы не получаете поддельный или сломанный ответ; вы получаете ошибку. С вашего стула это может выглядеть как сайт, исчезающий случайным образом, хотя на деле резолвер поймал несоответствие между подписями домена и его записями: обычно это собственная ошибка конфигурации сайта, изредка — нечто худшее, чему отказали у двери.

Это важно для повседневной работы адреса в роли диагноста. Если 8.8.8.8 сообщает, что имя не проходит, в то время как резолвер вашего провайдера весело возвращает для него адрес, главная подозреваемая — валидация: публичный резолвер проверяет подписи, которые более снисходительный игнорирует. Сайт не выборочно недоступен. Он выборочно проверяется — и это знание превращает сбивающее с толку противоречие в диагноз.

Честные компромиссы

Я часто рекомендую эту службу, но никогда — автоматически. Что вы получаете и что отдаёте, выглядит так:

• Согласованность: один и тот же резолвер ведёт себя одинаково в вашей домашней сети, на телефоне и в сети зарубежного отеля, что убирает целый класс загадок «здесь работает, там нет».
• Обслуживание: крупные публичные резолверы патчат и сторожат круглосуточно. Запущенный провайдерский резолвер — а некоторые запущены очень — может этого не делать.
• Централизация: ваши запросы вливаются в один из крупнейших потоков запросов на планете, который держит рекламная компания. Опубликованная политика сдержанна, но сама концентрация — вещь, которую справедливо не любить.
• Локальные ответы: некоторые контентные сети угадывают ваше местоположение по местоположению вашего резолвера. Глобальный anycast-резолвер может иногда принести вам более далёкий контентный сервер, чем принёс бы локальный провайдерский.
• Фильтрация: если резолвер вашего провайдера тихо блокирует известные вредоносные домены, нейтральный публичный резолвер не сделает эту работу за вас.

Узнайте, чем вы пользуетесь сейчас

Любопытно, не указывает ли устройство уже на 8.8.8.8? Проверьте, прежде чем что-то менять:

1. 1

   Проверьте настройки DNS устройства

   Откройте сетевые настройки используемого соединения и посмотрите поля DNS-серверов. Если они заполняются автоматически, резолвер пришёл от вашего роутера или провайдера, и у этого устройства нет собственного мнения.

2. 2

   Проверьте и роутер

   Многие домашние роутеры раздают собственный адрес и сами пересылают запросы наверх. Резолвер, делающий настоящую работу, может жить там, а не на вашем устройстве, — поэтому смена одного ноутбука иногда ничего не меняет.

3. 3

   Спросите систему напрямую

   Выполните запрос инструментом командной строки и прочитайте строку сервера в его выводе или сравните ответы в инструменте поиска DNS. Запрос, отвеченный публичной службой Google, скажет об этом прямо.

4. 4

   Меняйте обдуманно, если меняете

   Как сменить DNS-сервер охватывает настройки на каждой платформе, включая ввод 8.8.8.8 первым адресом и 8.8.4.4 вторым, чтобы отказ одного пути не уронил ваши запросы.

О том самом тесте пингом

Поскольку адрес знаменит, у него появилась вторая карьера: быть тем, что люди пингуют, чтобы проверить, «работает ли интернет». Относитесь к этому ритуалу осторожно. Пинг доказывает, что пакет может достичь чего-то, что отвечает на пинги. Он ничего не говорит о том, работает ли разрешение имён, — а ведь именно для этого этот адрес и существует. Я видел, как люди успешно пинговали его, объявляли соединение здоровым, а потом в недоумении сидели перед браузером, который не мог разрешить ни одного имени.

Более чистый тест — тот, для которого сервис и был создан: задайте ему вопрос. Найдите имя, которому доверяете, через 8.8.8.8, затем через ваш обычный резолвер, и сравните ответы. Совпадение говорит о том, что разрешение здорово. Расхождение говорит, где копать. Достижимость — это дверной звонок; запрос — это разговор, и только один из них проверяет то, что вам на самом деле важно.

Это всё, чем 8.8.8.8 является: очень хороший, очень публичный посредник. Знать, что посредник делает — и что он видит, — разница между настройкой сети и простым вводом числа, которое вам дали.