Qu'est-ce que le DNS ?

Le système de noms de domaine (DNS) est un service de nommage distribué qui traduit les noms de domaine lisibles par l'homme, tels que example.com, en adresses IP utilisées par les ordinateurs pour communiquer entre eux sur un réseau. Véritable annuaire d'Internet, le DNS traite chaque jour des milliards de requêtes afin de permettre aux utilisateurs d'accéder à des sites et à des services sans avoir à mémoriser d'adresses numériques.

Points clés à retenir

• Le DNS convertit les noms de domaine en adresses IP, sur lesquelles s'appuient les réseaux pour acheminer le trafic.
• La résolution passe par les serveurs de résolution, le serveur racine, les serveurs de domaine de premier niveau et les serveurs faisant autorité.
• Les types d'enregistrements tels que A, AAAA, MX et CNAME remplissent chacun un rôle bien précis.
• Les protocoles DNS sur TLS et DNS sur HTTPS chiffrent les requêtes qui sont initialement envoyées en clair.
• Les appareils VOS assurent la gestion par proxy, le filtrage et l'acheminement du trafic DNS conformément à la politique SD-WAN.

Sur cette page : Pourquoi est-ce important ? · Comment ça marche · Types · DNS et Versa · FAQ

Pourquoi le DNS est-il important ?

Le DNS est l'un des protocoles fondamentaux d'Internet : pratiquement aucune session de navigation, aucun appel d'API ni aucune connexion au cloud ne peut démarrer sans une requête DNS. Il existe parce que les utilisateurs naviguent à l'aide de noms tandis que les réseaux acheminent le trafic à l'aide d'adresses ; or, pour assurer la conversion entre ces deux systèmes à l'échelle mondiale, il faut un système de nommage distribué et pouvant être mis en cache, et non un annuaire centralisé unique.

C'est également grâce à cette distribution que le DNS est évolutif. Aucun serveur ne détient à lui seul l'ensemble des correspondances ; l'autorité est déléguée de manière hiérarchique, depuis la racine jusqu'aux domaines de premier niveau, puis aux organisations gérant les zones individuelles, et la mise en cache à chaque couche permet d'éviter que la plupart des requêtes ne transitent par l'Internet au sens large. Ce même modèle de confiance fait du DNS une cible privilégiée pour les attaques – empoisonnement de cache, usurpation d'identité et tunneling en sont autant d'exemples – ce qui explique pourquoi les transports chiffrés et le filtrage adapté au DNS font désormais partie intégrante d'une architecture de sécurité.

Qu'est-ce que le DNS ?

Une recherche DNS commence au niveau d'un résolveur « stub » côté client, qui transmet la requête à un résolveur récursif – souvent géré par un FAI, une entreprise ou un fournisseur public. Si l'enregistrement n'est pas déjà en cache, le résolveur récursif parcourt la hiérarchie : il demande à un serveur racine quel serveur de domaine de premier niveau (TLD) fait autorité pour le suffixe, demande à ce serveur TLD quel serveur faisant autorité détient la zone, puis interroge ce dernier pour obtenir l'enregistrement.

Chaque enregistrement comporte un délai de validité (TTL) qui détermine la durée pendant laquelle les résolveurs peuvent le mettre en cache avant d'effectuer une nouvelle requête. Les enregistrements se présentent sous différents formats : un enregistrement A associe un nom à une adresse IPv4, un enregistrement AAAA à une adresse IPv6, un enregistrement CNAME redirige un nom vers un autre, un enregistrement MX identifie les serveurs de messagerie, un enregistrement NS délègue une zone et un enregistrement TXT contient du texte utilisé pour des enregistrements tels que SPF et DKIM.

Types de DNS

La résolution DNS fait intervenir plusieurs rôles de serveurs. Les résolveurs récursifs effectuent le travail pour le compte d'un client, en parcourant la hiérarchie et en mettant les résultats en cache. Les serveurs faisant autorité détiennent les enregistrements proprement dits d'une zone. Les serveurs racine et les serveurs de domaine de premier niveau (TLD) ont pour seule fonction de rediriger les requêtes vers le serveur faisant autorité approprié ; ils ne répondent pas aux requêtes concernant des domaines individuels.

Les modes de transport se sont également diversifiés. Le DNS classique fonctionne en clair sur UDP, en recourant au TCP pour les réponses plus volumineuses – une conception qui rend les requêtes visibles tout au long du parcours. Le DNS sur TLS (DoT) et le DNS sur HTTPS (DoH) encapsulent les requêtes dans TLS pour combler cette faille, au prix d’une configuration supplémentaire de la connexion ; les protocoles UDP et TCP en clair restent la norme lorsque la compatibilité l’emporte sur le chiffrement supplémentaire.

DNS & Versa

Les appareils VOS peuvent faire office de proxy DNS, en interceptant les requêtes DNS des clients et en les redirigeant vers le résolveur approprié selon des règles configurables, comme décrit dans la section « Configurer un proxy DNS ». Une configuration courante est le « split DNS » : les noms de domaine internes sont résolus par un serveur DNS d’entreprise, tandis que tout le reste est acheminé vers un résolveur public, ce qui soulage le serveur d’entreprise des recherches récursives. Les profils de proxy DNS dans Director prennent en charge les résolveurs de basculement ou de type « round-robin », les pools SNAT et, à partir de la version 23.1.1, les connexions DoH et DoT.

Pour l'accès direct à Internet via SD-WAN, la configuration du proxy DNS avec l'orientation du trafic SD-WAN pour le DIA permet à une requête DNS de consulter la politique d'orientation du trafic SD-WAN, offrant ainsi une affinité de chemin plus ou moins stricte avec le trafic applicatif qui s'ensuit. Du point de vue de la sécurité, la configuration du filtrage DNS (NGFW) applique des listes d’autorisation, des listes de refus, des recherches basées sur la réputation pour les domaines nouvellement observés, ainsi que la détection des tunnels DNS afin de bloquer toute résolution malveillante avant l’établissement d’une session.

Questions fréquentes

Quelle est la différence entre un nom de domaine et un enregistrement DNS ?

Un nom de domaine, tel que example.com, est une étiquette lisible par l'utilisateur. Un enregistrement DNS correspond aux données qu'un serveur de référence renvoie à ce sujet (une adresse IP, un serveur de messagerie, une valeur textuelle) ; un domaine contient généralement plusieurs types d'enregistrements à la fois.

Qu'est-ce qu'un résolveur DNS ?

Un résolveur effectue des recherches pour le compte d'un client. Un résolveur « stub » présent sur l'appareil transmet la requête à un résolveur récursif, qui interroge successivement les serveurs racine, les serveurs de domaine de premier niveau (TLD), puis les serveurs faisant autorité, et met le résultat en cache en vue d'une réutilisation.

Qu'est-ce que la mise en cache DNS et le TTL ?

Chaque enregistrement DNS comporte un délai de validité (TTL), c'est-à-dire le nombre de secondes pendant lequel un résolveur peut réutiliser une réponse mise en cache avant d'effectuer une nouvelle requête. C'est grâce à la mise en cache à chaque couche que le DNS peut absorber le volume mondial de requêtes sans que chaque recherche n'atteigne un serveur de référence.

Qu'est-ce que le DNS sur HTTPS (DoH) ?

DoH encapsule les requêtes DNS dans une connexion HTTPS, en les chiffrant afin que les intermédiaires ne puissent ni lire ni altérer la requête. DoT atteint le même objectif via une connexion TLS dédiée ; ces deux protocoles remplacent le trafic DNS UDP ou TCP en clair.

Qu'est-ce que le filtrage DNS ?

Le filtrage DNS compare les requêtes DNS à des listes d'autorisation, des listes de blocage et des données de réputation afin de bloquer la résolution des domaines connus pour être malveillants ou récemment identifiés comme tels avant même qu'une connexion ne soit établie. Il permet également de détecter le « tunneling DNS », une attaque qui consiste à dissimuler des données au sein de requêtes DNS.

En savoir plus sur le DNS

Si vous souhaitez en savoir plus, voici des sources auxquelles nous faisons confiance.

Termes associés

Si vous vous intéressez au DNS, voici quelques liens qui pourraient vous intéresser.