DNS se­con­da­rio

Il Domain Name System, ab­bre­via­to in DNS, è un sistema di­stri­bui­to a livello globale per la tra­du­zio­ne dei domini Internet in indirizzi IP. Il DNS re­sti­tui­sce un indirizzo IP per un nome di dominio e funziona quindi come “rubrica” di Internet. Con­cet­tual­men­te, l’indirizzo IP cor­ri­spon­de a un indirizzo postale a cui si possono inviare pacchetti. Di seguito alcuni esempi di query DNS:

Data l’im­por­tan­za del DNS, le in­for­ma­zio­ni DNS vengono di­stri­bui­te in modo ri­don­dan­te su diversi sistemi. In questo modo le in­for­ma­zio­ni rimangono ac­ces­si­bi­li anche in caso di mal­fun­zio­na­men­ti di singoli com­po­nen­ti del DNS. Inoltre, la vicinanza geo­gra­fi­ca di un server è de­ter­mi­nan­te per la velocità delle risposte. In un sistema ri­don­dan­te si distingue tra un’origine e, se ne­ces­sa­rio, più copie. In pratica, una tale im­po­sta­zio­ne richiede un mec­ca­ni­smo per regolare le copie ri­don­dan­ti quando l’origine cambia.

Un mec­ca­ni­smo di base per la di­stri­bu­zio­ne di in­for­ma­zio­ni DNS per una zona DNS su più server è stato definito in una spe­ci­fi­ca­zio­ne della Internet En­gi­nee­ring Task Force (IETF), pub­bli­ca­ta nel 1996. Qui viene definito come un server DNS primario, chiamato “master”, notifica a un gruppo di server DNS secondari, chiamati “slave”, un cam­bia­men­to della zona DNS. Ai server DNS secondari viene richiesto di ef­fet­tua­re una richiesta al server DNS primario per ottenere le modifiche.

Per de­fi­ni­zio­ne, esiste un solo server DNS primario per una zona DNS. Questo server contiene le in­for­ma­zio­ni di origine DNS per la zona e serve come punto di accesso per l’am­mi­ni­stra­to­re della stessa. Se si devono apportare modifiche a una zona DNS, queste vengono ef­fet­tua­te sul server DNS primario. Invece, diversi server DNS secondari di­stri­bui­ti in tutto il mondo vengono uti­liz­za­ti per il mirroring delle relative in­for­ma­zio­ni. Spesso per l’hosting del DNS se­con­da­rio viene uti­liz­za­to un provider DNS separato.

È da notare che i termini “primario” e “se­con­da­rio” hanno un si­gni­fi­ca­to diverso quando associati ai server DNS, che varia in base al contesto. Forse sapete già che potete cambiare i server DNS uti­liz­za­ti nelle im­po­sta­zio­ni di sistema della vostra con­nes­sio­ne di rete. Anche questi sono spesso definiti come “primario” e “se­con­da­rio”, causando di fatto una so­vrap­po­si­zio­ne di termini. In ri­fe­ri­men­to alla zona DNS, entrambi i server da voi spe­ci­fi­ca­ti possono essere server DNS secondari. Inoltre, è possibile con­fi­gu­ra­re più di due server DNS, secondo le proprie esigenze.

In primo luogo, è ne­ces­sa­rio chiarire che sia i server DNS primari che quelli secondari sono “name server au­to­re­vo­li” per la ri­spet­ti­va zona. Ciò significa che le in­for­ma­zio­ni me­mo­riz­za­te per la zona DNS sono ne­ces­sa­ria­men­te af­fi­da­bi­li. I name server au­to­re­vo­li sono quindi in con­trap­po­si­zio­ne ai name server che salvano nella cache solo le in­for­ma­zio­ni DNS pro­ve­nien­ti da query DNS già eseguite.

La dif­fe­ren­za tra server DNS primario e se­con­da­rio è prin­ci­pal­men­te di natura am­mi­ni­stra­ti­va. Il server DNS primario contiene le in­for­ma­zio­ni DNS di una zona DNS nel co­sid­det­to file di zona. Eventuali modifiche al file di zona vengono ef­fet­tua­te di­ret­ta­men­te dall’am­mi­ni­stra­to­re di zona. Al contrario, il file di zona di un server DNS se­con­da­rio non può essere mo­di­fi­ca­to di­ret­ta­men­te; eventuali modifiche a questo file sono de­ter­mi­na­te dal DNS primario.

Se il file di zona viene mo­di­fi­ca­to, i server DNS secondari vengono informati della modifica e ri­chie­do­no i dati mo­di­fi­ca­ti. Il tra­sfe­ri­men­to di in­for­ma­zio­ni DNS tra server DNS è noto come tra­sfe­ri­men­to di zona. Nel tra­sfe­ri­men­to di zona, un server DNS se­con­da­rio è la de­sti­na­zio­ne, mentre il server DNS primario funge da origine. Ricordate che lo stesso server fisico può essere allo stesso tempo il server DNS primario per una zona DNS e un server DNS se­con­da­rio per un’altra zona.

La ca­rat­te­ri­sti­ca prin­ci­pa­le del DNS se­con­da­rio è che il file di zona viene tra­sfe­ri­to da una fonte esterna ai server. Per il tra­sfe­ri­men­to di zona vengono uti­liz­za­ti vari mec­ca­ni­smi. Fon­da­men­ta­le per la re­go­la­men­ta­zio­ne del tra­sfe­ri­men­to di zona è il record DNS,  “Start of Authority” (SOA), che comprende diversi campi:

• Il campo ‘MNAME’ contiene l’indirizzo IP del server DNS primario.
• Il record SOA contiene anche una serie di campi che de­fi­ni­sco­no gli in­ter­val­li in cui i server DNS secondari in­ter­ro­ga­no au­to­ma­ti­ca­men­te il primario per le modifiche.

Di seguito ri­por­tia­mo tre con­fi­gu­ra­zio­ni DNS di uso frequente.

In un certo senso, questa è la con­fi­gu­ra­zio­ne “classica” per di­stri­bui­re le in­for­ma­zio­ni DNS di una zona a diversi server DNS au­to­re­vo­li. A essere uti­liz­za­to è un server DNS primario, spe­ci­fi­ca­to nel campo MNAME del record SOA. I server DNS secondari con­trol­la­no a in­ter­val­li regolari se si è ve­ri­fi­ca­ta una modifica delle in­for­ma­zio­ni DNS per la loro zona e, se ne­ces­sa­rio, avviano un tra­sfe­ri­men­to dei dati mo­di­fi­ca­ti. Inoltre, il server primario può no­ti­fi­ca­re le modifiche ai server DNS secondari mediante la relativa istru­zio­ne.

L’approccio noto come “Primario nascosto” è una variante in­te­res­san­te della classica con­fi­gu­ra­zio­ne primario/se­con­da­rio, in cui il server primario funziona in back­ground. Il server spe­ci­fi­ca­to nel campo MNAME della voce SOA non è il server primario effettivo. I server DNS secondari non possono quindi in­ter­ro­ga­re da soli le modifiche alla zona DNS, ma la richiesta esplicita deve partire dal primario nascosto per mezzo di una notifica.

So­li­ta­men­te si configura un computer nella rete locale come server DNS in modo da uti­liz­zar­lo come primario nascosto. Da ciò ne con­se­guo­no due vantaggi immediati:

• Le modifiche al file di zona si possono ef­fet­tua­re co­mo­da­men­te a livello locale.
• Tutto il traffico DNS in entrata è gestito dai server DNS secondari.

Per adottare questa con­fi­gu­ra­zio­ne, è utile pro­teg­ge­re la co­mu­ni­ca­zio­ne tra i server DNS secondari e il primario nascosto con la tec­no­lo­gia di crit­to­gra­fia DNSSEC.

Questa con­fi­gu­ra­zio­ne è uno sviluppo recente. Utilizza diversi server DNS au­to­re­vo­li per una zona DNS, tutti con­te­nen­ti i dati di origine. Non avviene alcun tra­sfe­ri­men­to di zona tra di loro e quindi non c’è un DNS se­con­da­rio nel vero senso della parola. Ogni modifica della zona DNS richiede un al­li­nea­men­to coor­di­na­to dei server DNS primari. A questo scopo vengono uti­liz­za­ti sistemi pro­prie­ta­ri. Im­ma­gi­na­te, ad esempio, un sistema esterno con GUI e API che viene uti­liz­za­to per mo­di­fi­ca­re le in­for­ma­zio­ni DNS e di­stri­bui­re le modifiche.

L’utilizzo del DNS se­con­da­rio presenta molti vantaggi. Per com­pren­der­li meglio, im­ma­gi­nia­mo che ci sia un solo server DNS per una zona DNS. Una con­fi­gu­ra­zio­ne di questo tipo avrebbe anche i seguenti effetti negativi:

• Gli utenti più lontani dal server DNS primario su­bi­reb­be­ro un ritardo nelle risposte rispetto agli utenti più vicini.

In questo caso, il DNS se­con­da­rio assicura de­ter­mi­na­te pre­sta­zio­ni nella risposta alle richieste DNS.

• Un guasto del server DNS primario si­gni­fi­che­reb­be che le in­for­ma­zio­ni au­to­re­vo­li per la zona DNS non sarebbero più di­spo­ni­bi­li all’im­prov­vi­so.

In questo caso, il DNS se­con­da­rio ga­ran­ti­sce la ri­don­dan­za e l’elevata di­spo­ni­bi­li­tà delle in­for­ma­zio­ni DNS.

• L’elevato numero di query DNS in entrata so­vrac­ca­ri­che­reb­be il server DNS primario una volta raggiunta una certa soglia.

In questo caso, il DNS se­con­da­rio di­stri­bui­sce il carico e ga­ran­ti­sce quindi un’elevata di­spo­ni­bi­li­tà delle in­for­ma­zio­ni DNS.

Risulta quindi chiaro che una con­fi­gu­ra­zio­ne senza DNS se­con­da­rio sarebbe estre­ma­men­te soggetta a guasti tecnici e attacchi in­for­ma­ti­ci.

I vantaggi pre­sen­ta­ti in merito all’utilizzo del DNS se­con­da­rio sono di natura tecnica. A questi si aggiunge una mo­ti­va­zio­ne di carattere am­mi­ni­stra­ti­vo che si verifica quando un’or­ga­niz­za­zio­ne vuole migrare verso un nuovo fornitore di DNS. In questo caso, l’im­po­sta­zio­ne esistente per la gestione della zona DNS può ancora essere uti­liz­za­ta, ad esempio in una con­fi­gu­ra­zio­ne primaria nascosta. Il nuovo provider DNS funge da DNS se­con­da­rio per ri­spon­de­re alle richieste DNS in entrata.

La di­stin­zio­ne tra DNS primario e se­con­da­rio è prin­ci­pal­men­te am­mi­ni­stra­ti­va. Un os­ser­va­to­re esterno non può stabilire in modo certo se un server DNS au­to­re­vo­le è un server primario o se­con­da­rio. Inoltre, lo stesso server può essere DNS primario per una zona e DNS se­con­da­rio per un’altra. Anche il campo MNAME del record SOA non dà nessun sug­ge­ri­men­to, poiché l’attuale server DNS primario può essere gestito come primario nascosto.