3I 023 DNS. Benjamin Baron Cours sous la responsabilité de Prométhée Spathis

Transcription

1 3I 023 DNS Benjamin Baron Cours sous la responsabilité de Prométhée Spathis

2 Aujourd hui 2 HTTP et Web 3 DNS 4 Peer-to-Peer Application Transport 5 TCP et UDP 6 Sockets Java 7 Adressage 8 Protocole IP 9 Routage Réseau Liaison 10 Liaison et contrôle d accès En master Physique 2

3 Identifier les entités Une personne peut être identifiée de plusieurs manières Numéro de sécurité sociale, numéro de Passeport ou de carte d identité, empreintes digitales Les hôtes Internet et routeurs peuvent être identifiés par : Adresse IP utilisée pour adresser les paquets (datagrammes) Adresse numérique appréciées des routeurs Longueur fixe, nombres binaires (32 bits pour IPv4 ou 128 bits pour IPv6) Hiérarchiques en rapport avec la localisation topologique des hôtes Nom (ex : utilisé par les humains Nom ménomiques appréciés des utilisateurs Longueur variable, caractères alpha-numériques Donnent peu (voir aucune) d information sur la location 3

4 Nommage et adressage Les noms sont plus simples à retenir vs Les adresses peuvent changer Déplacer le serveur à l adresse Ex : renumérotation en cas de changement de fournisseur (provider) Un nom peut cacher plusieurs adresses IP Le serveur Web est répliqué à plusieurs endroits Faire correspondre une adresse différente selon notre position L adresse IP d une copie du serveur Web proche Ex : pour réduire la latence, ou retourner des contenus différents Plusieurs noms pour une même adresse IP Ex : alias tels que ee.mit.edu et cs.mit.edu 4

5 Qu est-ce que DNS? DNS (Domain Name Service) est utilisé pour traduire des noms lisibles par des humains (ex : en adresses IP utilisables par les machines hôtes (ex : ) Besoins de DNS : Accéder aux ressources de manière efficace Ex : correspondance Nom -> Adresse IP Passage à l échelle Pour beaucoup d utilisateurs sur une grande zone géographique Portée globale Tous les noms doivent avoir le même sens partout (sémantique) Mise à jour et réponses aux requêtes distribuées Performance 5

6 Comment résoudre un nom en une adresse IP, et réciproquement?

7 Solution #1 Fichier /etc/hosts Clients /etc/hosts Internet 7

8 Solution #1 Fichier /etc/hosts Proposé initialement pour faire correspondre un nom à une adresse IP Espace de nommage plat (flat namespace) Fichier situé à l emplacement /etc/hosts (dans les machines Unix) Copie principale hébergée par Stanford Research Institute s Network Information Center (SRI-NIC) Téléchargé régulièrement par toutes les machines hôtes Solution vite insoutenable dès les années 1980 Le nombre d hôtes augmente : une machine par domaine -> une machine par utilisateur Augmentation du nombre de téléchargements et de mises à jour Le fichier /etc/hosts existe toujours 8

9 Solution #2 DNS centralisé Clients Internet Serveur DNS centralisé 9

10 Solution #2 DNS centralisé Serveur central Emplacement unique où toutes les correspondances sont stockées Toutes les requêtes sont dirigées vers le serveur central Plusieurs problèmes pratiques se posent : Unique point de vulnérabilité (single point of failure) Volume de trafic vers le serveur Base de données distante centralisée Unique point de mise-à-jour Ne passe pas à l échelle! 10

11 Solution #3 Serveurs multiples Plusieurs serveurs répliqués Ne passe pas à l échelle! 11

12 DNS Domain Name System Base de données distribuée mondiale Propriétés de DNS Espace de nommage hiérarchique divisé en zones Distribué sur une collection de serveurs DNS Hiérarchie de serveurs DNS 13 serveurs DNS racine (root servers) Serveurs TLD (Top-Level Domain servers) Serveurs DNS d autorité (Authoritative DNS servers) Execute les traductions Serveurs DNS locaux (local DNS servers) Logiciel de résolution (resolver software), ex : navigateur Web 12

13 DNS Base de données distribuée, hiérarchique Racine non nommée.com.edu....org.fr.ca....zw arpa bar Domaines génériques ac Domaines de pays in- addr 12 west east cam 34 foo my usr 56 my.east.bar.com usr.cam.ac.fr /24 13

14 DNS Base de données distribuée, hiérarchique Serveurs DNS racine Serveurs DNS.com Serveurs DNS.org Serveurs DNS.fr Serveurs DNS google.com Serveurs DNS amazon.com Serveurs DNS unicef.org Serveurs DNS lip6.fr Serveurs DNS upmc.fr Un client veut IP de ; 1 ère approximation Le client envoie une requête vers un serveur racine pour trouver l adresse IP du serveur DNS TLD.com Le client envoie une requête vers le serveur DNS TLD.com pour trouver l adresse IP du serveur DNS d autorité amazon.com Le client envoie une requête vers le serveur DNS d autorité amazon.com pour obtenir l adresse IP de 14

15 Serveurs DNS racine A Verisign, Dulles, VA C Cogent, Herndon, VA (also Los Angeles) D U Maryland College Park, MD G US DoD Vienna, VA H ARL Aberdeen, MD J Verisign, (11 locations) K RIPE London (also Amsterdam, Frankfurt) I Autonomica, Stockholm (plus 3 other locations) E NASA Mt View, CA F Internet Software C. Palo Alto, CA (and 17 other locations) M WIDE Tokyo B USC-ISI Marina del Rey, CA L ICANN Los Angeles, CA 13 serveurs DNS racine (voir Contactés par un serveur DNS local qui ne peut pas résoudre un nom 15

16 Serveurs TLD et d autorité Serveurs TLD (Top-Level Domain) Responsables des noms de domaine génériques (ex :.com,.org,.edu) Responsables des noms de domaine de pays (ex :.fr,.ca,.jp) Noms de domaine gérés de manière professionnelle Network Solutions est en charge du nom de domaine.com Educause est en charge du nom de domaine.edu Serveurs DNS d autorité (authoritative) Donnent les correspondances entre le nom des hôtes nommés au sein d une organisation avec leur adresses IP (ex : Généralement pour les serveurs d une organisation (ex : mail ou Web) Maintenus soit en local, soit par un fournisseur de service 16

17 Serveurs DNS locaux N appartiennent pas vraiment à la hiérarchie DNS Configuration : Chaque organisation (FAI, entreprise, université) en a un dans son réseau ou dans ses sous-réseaux Aussi appelé serveur de nom par défaut, default name server Leur adresses IP font partie de la configuration du réseau des hôtes (soit manuellement, soit avec DHCP) Procédé : Lorsqu un hôte émet une requête DNS, celle-ci est envoyée vers le serveur DNS local du réseau Comporte un cache local avec les traductions récentes des noms en adresses IP (mais elles peuvent être obsolètes!) Joue le role de proxy en acheminant la requête dans la hiérarchie 17

18 Résolution d un nom DNS Requête itérative L hôte à npa.lip6.fr veut l adresse IP du serveur Web ufr-info-p6.jussieu.fr L hôte prend en charge lui-même la résolution du nom en contactant les serveurs DNS appropriés Les serveurs DNS contactés répondent avec l adresse IP du prochain serveur à contacter dans la hiérarchie DNS Je ne connais pas ce nom, mais demande à ce serveur Serveur DNS local osiris.lip6.fr 18 Serveur DNS root Emetteur de la requête npa.lip6.fr Serveur DNS TLD Serveur DNS d autorité shiva.lip6.fr ufr-info-p6.jussieu.fr

19 Résolution d un nom DNS Requête récursive L hôte à npa.lip6.fr veut l adresse IP du serveur Web ufr-info-p6.jussieu.fr La résolution du nom est prise en charge par le serveur DNS contacté Est-ce que cela entraine une grande charge pour les niveaux supérieurs de la hiérarchie? Serveur DNS local osiris.lip6.fr 1 Serveur DNS root Serveur DNS TLD Emetteur de la requête npa.lip6.fr Serveur DNS d autorité shiva.lip6.fr 19 ufr-info-p6.jussieu.fr

20 Résolution d un nom DNS Requête hybride L hôte à npa.lip6.fr veut l adresse IP du serveur Web ufr-info-p6.jussieu.fr L hôte envoie une requête de type recursion-requested vers le serveur DNS local osiris.lip6.fr L hôte est en train de faire une requête récursive (1) Le serveur DNS local fait une recherche itérative (2-4-6). Il va alors contacter plusieurs autres serveurs DNS avant de donner la réponse finale à l hôte Serveur DNS local osiris.lip6.fr 20 Serveur DNS root Emetteur de la requête npa.lip6.fr Serveur DNS TLD Serveur DNS d autorité shiva.lip6.fr ufr-info-p6.jussieu.fr

21 DNS et caches La résolution de toutes ces requêtes prend du temps Nécessaire pour que la communication ait lieu Ex : 1 seconde de latence avant de télécharger un fichier Web Mettre en cache les données permet de réduire cet overhead Les adresses IP des serveurs DNS TLD ne changent presque pas (de ce fait les serveurs racine ne sont presque jamais visités) Les sites populaires (ex : qui sont souvent visités Le serveur DNS local contient bien souvent l information mise en cache Mise en place d un cache DNS Les serveurs DNS mettent en cache les réponses aux requêtes DNS Les réponses incluent un champ TTL (Time To Live) Le serveur supprime les entrées mises en cache à l expiration du TTL 21

22 Cache négatif Principe Se rappeler des entrées qui ne marchent pas Erreurs de frappe comme wwww.google.fr et La résolution des noms issus des fautes de frappe peut s avérer très longue C est utile de se souvenir qu elles ne marchent pas Afin que leur résolution prenne moins de temps la prochaine fois 22

23 DNS Resource Records DNS est une base de données qui regroupe des Resource Records (RR) (name, value, type, ttl) type = A name est le nom d hôte value est l adresse IP type=ns name est le domaine (ex : foo.com) value est le nom du serveur DNS d autorité pour ce domaine type=cname name est un alias pour un nom canonique (réel) Ex : est en fait servereast.backup2.ibm.com value est le nom canonique type=mx value dest le nom du serveur de mail associé à name 23

24 Protocole DNS Les messages de requête et de réponse sont ont le même format 2 octets 2 octets identification nombre codé sur 16 bits pour identifier la requête La réponse utilise le même identifiant flags Requête ou réponse Récursion désirée ou non Récursion disponible Réponse provient dun serveur DNS d autorité identification flags # questions # answer RRs # authority RRs # additional RRs questions (variable # of questions) answers (variable # of RRs) authority (variable # of RRs) additional info (variable # of RRs) 24

25 Protocole DNS Les messages de requête et de réponse sont ont le même format 2 octets 2 octets identification flags # questions # answer RRs # authority RRs # additional RRs Nom, champs type pour une requête questions (variable # of questions) RRs dans la réponse à la requête answers (variable # of RRs) Enregistrements (records) pour les serveurs d autorité Informations additionnelles qui peuvent être utilisées authority (variable # of RRs) additional info (variable # of RRs) 25

26 Enregistrer un nom dans DNS Par exemple Une nouvelle startup Network Utopia, Inc souhaite enregistrer un domaine networkutopia.com Enregistrer le nom networkutopia.com auprès d un registrar DNS (ex : Network Solutions) Fournir les noms et adresses IP des serveurs de nom d autorité (primaire et secondaire) Le registrar DNS insère deux RRs dans le serveur DNS TLD.com : (networkutopia.com, dns1.networkutopia.com, NS) (dns1.networkutopia.com, , A) Création d un enregistrements auprès des serveurs d autorité de la startup : Type A pour Type MX (mail) pour networkutopia.com 26

27 Fiabilité de DNS UDP est utilisé pour les requêtes La fiabilité doit être implémentée au dessus de UDP Les serveurs DNS sont répliqués Le service de traduction de nom est disponible si au moins un réplica est disponible La charge des requêtes peut être balancée entre les réplicas (load balancing) Essayer des serveurs DNS alternatifs en cas d expiration de temporisateur (timeout) Exponential backoff si l on essaye avec le meme serveur Même identifiant pour toutes les requêtes Le serveur qui répond n a pas d importance 27

28 Utiliser dig sous Unix La commande dig Permet d émettre des requêtes auprès du système DNS Utiliser des flags pour trouver les serveurs de nom (NS) Option +norecurse pour désactiver la récursion et opérer une étape à la fois bbaron@ssh:~$ dig NS ;; QUESTION SECTION: ; IN NS Zone TTL ;; AUTHORITY SECTION: fr IN NS d.ext.nic.fr. fr IN NS d.nic.fr. fr IN NS e.ext.nic.fr. fr IN NS f.ext.nic.fr. fr IN NS g.ext.nic.fr. Class Type Value ;; ADDITIONAL SECTION: d.ext.nic.fr IN A d.nic.fr IN A e.ext.nic.fr IN A f.ext.nic.fr IN A g.ext.nic.fr IN A

29 Requêtes DNS dans un téléchargement Web Un utilisateur tape ou clique sur une URL Le navigateur extrait le nom du site web (ex : Le navigateur appelle la primitive gethostbyname() pour apprendre l adresse IP correspondante Le navigateur exécute le code du resolver pour envoyer une requête au serveur DNS local (dont l adresse IP est configurée sur l hôte manuellement ou par DHCP) Le resolver finit par avoir une réponse Si elle est positive, l adresse IP du serveur Web est retournée au navigateur Le navigateur contacte le serveur Web, crée et se connecte à un socket et envoie la requête HTTP 29

30 Plusieurs requêtes DNS Souvent, une page Web contient des référence à plusieurs objets Par exemple : un fichier HTML avec des images JPG Chaque objet a sa propre URL Et est potentiellement situé sur différents serveurs Par exemple : Le navigateur télécharge les objets Généralement fait de manière automatique Nécessite d apprendre l adresse IP du serveur Web 30

31 Quand est-ce que les requêtes DNS ne sont pas nécessaires? Si le navigateur est configuré pour être utilisé avec un proxy Par exemple : le navigateur envoie toutes ses requêtes HTTP au travers du proxy Ensuite, le proxy prend en charge l envoi des requêtes DNS Les ressources Web demandées sont mises en cache localement Par exemple : Le cache contient la page leadstory.html Si la page est à jour au moment de la requête, inutile de récupérer la ressource, donc inutile d émettre une requête DNS Le navigateur a récemment envoyé une requête pour le nom d hôte Par exemple un utilisateur a récemment visité Donc, le navigateur a déjà exécuté gethostbyname() Et l adresse IP résultante est peut-être déjà dans le cache 31

32 Réplicas de serveurs Web Les sites web populaires peuvent être rapidement surchargés par les requêtes, d où l utilisation de plusieurs serveurs Clients Internet Serveurs Web répliqués 32

33 Diriger les clients vers les réplicas Approche simple Utiliser différents noms pour chaque serveur Demande aux clients de choisir un réplica, peu pratique Clients Serveurs Web répliqués www1.cnn.com Internet www2.cnn.com www3.cnn.com 33

34 Diriger les clients vers les réplicas Plus élégant Utiliser différents adresses IP pour chaque serveur À un nom est associé plusieurs adresses IP Clients Serveurs Web répliqués Internet Le serveur DNS d autorité retourne plusieurs adresses IP au serveur DNS local et ce dernier choisit l adresse IP à retourner Le serveur DNS d autorité peut varier l ordre des adresses IP retournées 34

35 Faire de l équilibrage de charge avec DNS Le serveur DNS d autorité (ex : d un site Web) sélectionne la meilleure adresse à retourner au serveur DNS local Basé sur la performance du serveur correspondant Basé sur la proximité géographique du client (serveur DNS local) Dépend de la charge du réseau Exemple de politiques qui peuvent être prises Ordonnancement de type Round-Robin entre les serveur pour faire de l équilibrage de charge Les requêtes émises depuis les US ont une adresses, celles émises depuis l Europe, une autre Dépend de la charge courante sur chaque réplica 35

36 Problème de la mise en cache DNS avec les réplicas Problème Mise en cache de réponses DNS Et si les propriétés de performance changent? Les clients Web apprennent toujours l adresse IP du meilleur vieux serveur Web Jusqu à ce que l information cachée expire Solution Utiliser des petites valeurs de TTL (Time-To-Live) Mettre artificiellement de petites valeurs de TTL Pour qu un réplica soit choisi en fonction d une information à jour Désavantages Les petites valeurs de TTL font abuser de DNS Beaucoup plus de messages de requêtes et de réponse DNS Plus grande latence avant d initier les requêtes Web au niveau des clients 36

37 Problèmes posés avec DNS et le nommage / adressage Beaucoup de niveaux dans la hiérarchie DNS Parfois, cela nécessite plus d une seconde lorsque qu aucune requête n est dans le cache (cache miss) L expiration des données mises en cache n est pas parfaite Petit TTL Ne passe pas à l échelle et augmente les délais (latence) Grand TTL Longue reprise en cas de panne d un serveur et peu de contrôle Opère au niveau des hôtes (leurs noms et adresses IP) Pourtant, beaucoup d applications (CDN, NDN, ICN) sont basées sur les objets De toutes façons, la plupart du temps, une adresse IP ne correspond pas à un hôte Plusieurs serveurs (anycast), front-end pour un load-balancer, NAT, box 37

38 DNS inversé Racine non nommée.com.edu....org arpa bar Domaines génériques east my in.my.east.bar.com in- addr in ARPA backronyme Address and Routing Parameter Area Tâche Trouver un nom à partir d une adresse IP Méthode Maintient une hiérarchie séparée basée sur les noms IP Ecrit en in-addr.arpa Pourquoi est-ce que l adresse est à l envers? Management Le serveur d autorité DNS est en charge de l adresse IP assignée

39 Hiérarchie de serveur.arpa in.addre.arpa a.root-servers.net * * * m.root-servers.net 132 z.arin.net ben.rsr.lip6.fr ns.ripe.net osiris.lip6.fr soleil.uvsq.fr isis.lip6.fr isis.lip6.fr osiris.lip6.fr hostmaster.lip6.fr A chaque niveau de la hiérarchie, un groupe de serveurs est autorisé à maintenir une région de la hiérarchie 39

40 Attaquer DNS Attaque DDoS (Distributed Denial of Service) Bombarder les (13) serveurs DNS racine avec du trafic Pas de succès jusqu à présent, dû aux règles de filtrage de trafic Les serveurs DNS locaux mettent en cache les adresses IP des serveurs DNS TLD, permettant d éviter de contacter les serveurs DNS racine Bombarder les serveurs DNS TLD Potentiellement plus dangereux Attaques par redirection Man-in-the-middle L attaquant intercepte les requêtes et les modifie DNS poisoning L attaquant envoie des requêtes DNS fallacieuses, mises en cache par le serveur DNS local Utiliser DNS pour des attaques DDoS Envoyer des requêtes avec une adresse IP source modifiée (spoofed), celle de la cible (target) 40

41 Conclusion DNS Domain Name System Base de données distribuée, hiérarchique Collection de serveurs distribués La mise en cache des correspondances entre nom et adresses IP permet d améliorer les performances 41

42 La semaine prochaine 2 HTTP et Web 3 DNS 4 Peer-to-Peer Application Transport 5 TCP et UDP 6 Sockets Java 7 Adressage 8 Protocole IP 9 Routage Réseau Liaison 10 Liaison et contrôle d accès En master Physique 42