DNS selitettynä: näin nimipalvelu muuttaa nimen osoitteeksi

Kirjoitat selaimeen osoitteen ja sivu aukeaa. Väliin mahtuu järjestelmä, joka on internetin vanhimpia ja hiljaisimpia osia: nimipalvelu eli DNS. Se ei siirrä sisältöä eikä salaa mitään, mutta ilman sitä mikään ei löydä perille.

DNS kannattaa ymmärtää kahdesta syystä. Ensimmäinen on vianetsintä: kun tiedät miten nimen selvitys etenee, osaat päätellä muutamassa minuutissa onko ongelma sinun laitteessasi, operaattorissasi vai palvelussa. Toinen on yksityisyys: nimipalvelinvalinta ratkaisee, kuka näkee luettelon avaamistasi sivustoista.

Tässä artikkelissa käydään läpi selvitysketju vaiheittain, tietuetyypit, välimuistin logiikka ja salattu DNS. Lopussa on vianetsintäjärjestys ja oiretaulukko, joilla erotat DNS-ongelman muusta.

Mitä DNS tekee

Laitteet eivät osaa käyttää nimiä. Yhteyden avaamiseen tarvitaan IP-osoite, ja DNS on järjestelmä, joka kertoo mikä osoite mihinkin nimeen kuuluu.

DNS on hakemisto, ei liikennereitti. Se kertoo minne mennä. Itse liikenne kulkee sen jälkeen suoraan, eikä nimipalvelin näe sen sisältöä.

Järjestelmä on hajautettu tarkoituksella. Yksikään palvelin ei tiedä kaikkien verkkotunnusten osoitteita. Sen sijaan vastuu on jaettu puumaiseen hierarkiaan, jossa jokainen taso tietää seuraavan tason vastuupalvelimen. Tämä on syy siihen, että internetin nimijärjestelmä on kestänyt vuosikymmeniä ilman keskitettyä hallintaa.

Nimi luetaan oikealta vasemmalle. Osoitteessa www.esimerkki.fi ylätason verkkotunnus on fi, sen alla on esimerkki ja sen alla www. Jokainen taso voidaan delegoida eri organisaatiolle.

Nimen selvitys vaihe vaiheelta

Kun avaat sivun, kysely kulkee tätä polkua. Ketju katkeaa heti, kun jokin vaihe osaa vastata.

1. Selaimen välimuisti. Selain säilyttää lyhyen aikaa nimiä, jotka se on juuri selvittänyt. Jos vastaus löytyy täältä, mitään verkkoliikennettä ei synny.
2. Käyttöjärjestelmän välimuisti ja hosts-tiedosto. Käyttöjärjestelmällä on oma välimuistinsa. Lisäksi hosts-tiedostoon käsin kirjoitettu rivi ohittaa koko muun järjestelmän.
3. Selvittävä nimipalvelin. Laitteesi kysyy siltä nimipalvelimelta, jonka se on saanut reitittimeltä tai jonka olet itse asettanut. Tämä on tyypillisesti operaattorisi palvelin tai jokin julkinen palvelu. Sillä on oma, paljon suurempi välimuistinsa.
4. Juuripalvelin. Jos selvittävä palvelin ei tiedä vastausta, se kysyy juurelta, joka kertoo mikä palvelin vastaa fi-päätteestä. Juuri ei tiedä yksittäisistä verkkotunnuksista mitään.
5. Ylätason verkkotunnuksen palvelin. Fi-päätteen palvelin kertoo, mitkä nimipalvelimet vastaavat verkkotunnuksesta esimerkki.fi.
6. Auktoritatiivinen nimipalvelin. Tämä on verkkotunnuksen oma palvelin, ja se antaa lopullisen vastauksen: tässä on osoite.

Vastaus palaa ketjua takaisin, ja jokainen vaihe tallentaa sen välimuistiinsa. Tyypillisesti koko kierros kestää sadasosia sekunneista muutamiin kymmeniin millisekunteihin, ja seuraavalla kerralla vastaus tulee suoraan välimuistista.

Tietuetyypit lyhyesti

Nimipalvelu tallentaa muutakin kuin osoitteita. Nämä tietuetyypit riittävät tavallisen käyttäjän ymmärrykseen.

TXT-tietueiden merkitys on kasvanut, koska sähköpostin lähettäjän todennus perustuu niihin. Kun huijausviesti väittää tulevansa pankista, vastaanottava palvelin voi tarkistaa TXT-tietueista, saako kyseinen palvelin lähettää postia sen verkkotunnuksen nimissä. Tämä on yksi taustamekanismi sille, miksi osa väärennetyistä viesteistä ei koskaan päädy perille. Loput tunnistat itse, ja siihen auttaa artikkeli tietojenkalastelusta.

TTL ja miksi muutos näkyy viiveellä

Jokaisella tietueella on TTL (time to live), eli aika sekunteina, jonka vastauksen saa säilyttää välimuistissa. Kun verkkotunnuksen omistaja siirtää sivuston uudelle palvelimelle, hän muuttaa A-tietueen. Vanha arvo elää silti kaikissa välimuisteissa TTL:n loppuun asti.

Tästä seuraa ilmiö, joka hämmentää säännöllisesti. Sivuston omistaja näkee uuden version, työkaveri näkee vanhan, ja kolmas näkee vuorotellen kumpaakin. Kukaan ei ole väärässä: he saavat vastauksen eri välimuisteista, jotka vanhentuvat eri aikaan.

Käytännön sääntö on, että muutos on täysin näkyvissä vasta kun vanhin välimuistissa oleva vastaus on vanhentunut. Jos TTL oli 24 tuntia, vuorokausi on realistinen odotusaika. Ammattilaiset laskevat TTL:n pieneksi muutamaa päivää ennen siirtoa ja nostavat sen takaisin siirron jälkeen.

Oman koneen välimuistin voi tyhjentää. Windowsissa komento on ipconfig /flushdns, macOSissa sudo dscacheutil -flushcache, ja selaimen oma välimuisti tyhjenee selaimen sulkemisella tai asetuksista. Tämä ei kuitenkaan vaikuta operaattorin palvelimen välimuistiin, joten se ei aina riitä.

Omaperäinen osio: onko ongelma DNS:ssä vai muualla

Tämä on artikkelin käytännöllisin osa. Kun jokin ei toimi, testaa tässä järjestyksessä. Jokainen vaihe sulkee pois yhden mahdollisuuden.

1. Aukeaako jokin toinen sivusto? Jos ei aukea mikään, ongelma on yhteydessä, ei nimipalvelussa. Siirry reitittimen ja operaattorin tarkistuksiin.
2. Toimiiko yhteys IP-osoitteella? Jos tiedät palvelun IP-osoitteen ja yhteys avautuu sillä mutta ei nimellä, vika on lähes varmasti DNS:ssä. Tämä on ratkaisevin yksittäinen testi.
3. Toimiiko sama sivu toisella laitteella samassa verkossa? Jos toimii, ongelma on yhden laitteen välimuistissa tai asetuksissa. Jos ei toimi, ongelma on verkossa tai nimipalvelimessa.
4. Toimiiko sivu puhelimen mobiiliyhteydellä, kun wifi on pois päältä? Jos toimii, kotiverkkosi nimipalvelin tai reititin on syyllinen. Jos ei toimi, palvelu itse on todennäköisesti alhaalla.
5. Toimiiko sivu, jos vaihdat nimipalvelimen toiseen? Jos vaihto korjaa asian, edellinen nimipalvelin antoi virheellisen tai vanhentuneen vastauksen.

Oireet ja niiden todennäköisimmät syyt:

Huomaa viimeinen rivi. Se on yleisin syy siihen, miksi VPN-yhteys muuttaa DNS:n käyttäytymistä: yhteys ohjaa nimikyselyt yrityksen omalle nimipalvelimelle, joka tuntee sisäiset nimet.

Salattu DNS ja mitä se muuttaa

Perinteinen DNS-kysely kulkee salaamattomana. Sen näkee kuka tahansa, joka pystyy tarkkailemaan liikennettä matkan varrella, ja siitä muodostuu luettelo avaamistasi sivustoista, vaikka itse liikenne olisi salattua.

Salattu DNS korjaa juuri tämän. DNS over HTTPS (DoH) piilottaa kyselyt tavallisen verkkoliikenteen sekaan, ja DNS over TLS (DoT) salaa ne omaan porttiinsa. Molemmat estävät kyselyn lukemisen ja muuttamisen matkalla.

Ne eivät kuitenkaan tee kyselyistä näkymättömiä. Se palvelu, jonka nimipalvelinta käytät, näkee edelleen jokaisen kyselyn. Salattu DNS siis siirtää luottamuksen operaattorilta sille taholle, jonka palvelimen valitset. Tämä on aito valinta eikä automaattinen parannus, ja valinnan seuraukset kannattaa tietää: julkisen nimipalvelun käyttö voi ohittaa operaattorin suodatukset, muuttaa sisällönjakeluverkkojen valintaa ja rikkoa työpaikan sisäiset nimet.

Suodatus, kaappaus ja myrkytys

DNS on kätevä paikka estää asioita, koska nimen selvitys tapahtuu ennen yhteyden avaamista. DNS-pohjainen suodatus tarkoittaa, että nimipalvelin kieltäytyy vastaamasta tiettyihin nimiin tai palauttaa niille virheen. Sillä toteutetaan mainosten esto, haittaohjelmasivustojen esto ja moni kotiverkon lapsilukko.

Suodatuksella on kaksi rajoitusta. Se estää nimen, ei sisältöä, joten suoraan IP-osoitteella otettu yhteys menee läpi. Ja se toimii vain niin kauan kuin laite käyttää sitä nimipalvelinta: selaimen oma salattu DNS voi ohittaa kotiverkon suodattimen kokonaan.

Kaksi hyökkäystapaa kannattaa tunnistaa nimeltä. DNS-kaappauksessa hyökkääjä muuttaa sen, mitä nimipalvelinta laite tai reititin käyttää, ja ohjaa liikenteen valitsemalleen palvelimelle. Välimuistin myrkytyksessä palvelimen välimuistiin syötetään väärä vastaus, jolloin oikea nimi johtaa väärään osoitteeseen. Molempia vastaan auttavat salattu DNS ja tietueiden allekirjoitus (DNSSEC), joka antaa vastaanottajalle keinon tarkistaa, että vastaus on aito.

Julkiset nimipalvelut ja valinnan seuraukset

Oletuksena laite käyttää operaattorin nimipalvelinta. Vaihtoehtoja ovat julkiset palvelut, joita tarjoavat esimerkiksi Cloudflare, Google ja Quad9, sekä kotiverkkoon itse asennettu suodattava palvelin.

Valinnassa on neljä ulottuvuutta: nopeus, luotettavuus, suodatus ja se kenelle kyselysi näkyvät. Operaattorin palvelin on yleensä verkon kannalta lähin. Julkiset palvelut ovat usein nopeita ja vakaita mutta keskittävät tiedon. Suodattava palvelu estää haitallisia nimiä puolestasi mutta päättää samalla, mitä et näe.

Yhtä oikeaa vastausta ei ole. Jos et tiedä mitä valita, operaattorin oletus on toimiva lähtökohta, ja vaihtaminen kannattaa tehdä silloin kun sinulla on siihen konkreettinen syy. Termistön voi tarkistaa digisanastosta.