Serveurs racines DNS

Un serveur racine du DNS est un serveur DNS qui répond aux requêtes qui concernent les noms de domaine de premier niveau (top-level-domain - TLD) et qui les redirige vers le serveur DNS de premier niveau concerné. Bien que n'importe quel opérateur puisse mettre en place ses propres serveurs racines du DNS, le terme de "serveur racine du DNS" est généralement utilisé pour désigner les treize serveurs racines du DNS qui implémentent la racine du Domain Name System officiel d'Internet.

On peut considérer que tous les noms de domaine sur Internet se terminent par un caractère de fin (par exemple : www.exemple.fr.). Ce point final est généralement implicite. En effet, les logiciels DNS actuels n'ont pas besoin qu'il soit systématiquement présent pour convertir un nom de domaine en adresse IP. La chaîne vide après ce point final est appelé le domaine racine. Tous les autres domaines (.com, .org, .fr, etc.) sont des sous-domaines du domaine racine.

Sommaire 1 Les requêtes DNS 2 Les serveurs racines du DNS 3 Les limitations 4 Attaques des 21 et 22 octobre 2002 5 Notes et références 6 Voir aussi 6.1 Articles connexes 6.2 Liens externes

Les requêtes DNS

Lorsqu'un ordinateur connecté à Internet veut résoudre un nom de domaine, il s'y prend de la droite vers la gauche. Il demande à chaque serveur DNS, chacun à son tour, de résoudre l'élément à sa gauche. Les serveurs racines du DNS (qui gèrent le domaine .) connaissent les serveurs qui gèrent les domaines de premier niveau. Chaque domaine de premier niveau (comme .org) possède ses propres serveurs qui, à leur tour, transmettent la demande aux serveurs DNS qui gèrent les noms de domaines particuliers (comme wikipedia.org). Ces serveurs renvoient alors l'adresse IP correspondant au sous-domaine ou à l'hôte (comme fr.wikipedia.org ou www.wikipedia.org).

Dans la pratique, la plupart des informations ne change pas très souvent. Elles sont donc mises en cache et les requêtes DNS nécessaires à destination des serveurs racine restent relativement rares. Une étude de 2003 ^[1] mentionne que seuls 2% des requêtes à destination de ces serveurs étaient légitimes. Les mises en cache incorrectes ou inexistantes sont à l'origine de 75% des demandes. 12,5% concernent des demandes pour des domaines de premier niveau inconnus, 7% parce qu'elles traitent des adresses IP comme des noms de domaines, etc. Certains ordinateurs de bureau mal configurés tentent même de mettre à jour les enregistrements des serveurs racine, ce qui n'est pas normal. Une liste de problèmes observés et les solutions pour y remédier sont disponibles à RFC 4697.

Les serveurs racines du DNS

Il y actuellement 13 serveurs racines du DNS dont les noms sont de la forme lettre.root-servers.net où lettre est une lettre comprise entre A et M. Sept de ces serveurs ne sont pas de simples serveurs mais correspondent à plusieurs serveurs répartis dans des lieux géographiques divers.

Lettre	adresse IPv4	adresse IPv6	Ancien nom	Société	Localisation	Logiciel
A	198.41.0.4	2001:503:BA3E::2:30	ns.internic.net	VeriSign	Dulles, Virginie, États-Unis	BIND
B	192.228.79.201	2001:478:65::53	ns1.isi.edu	USC-ISI	Marina Del Rey, Californie, États-Unis	BIND
C	192.33.4.12		c.psi.net	Cogent Communications	trafic distribué par anycast	BIND
D	128.8.10.90		terp.umd.edu	Université du Maryland	College Park, Maryland, Etats-Unis	BIND
E	192.203.230.10		ns.nasa.gov	NASA	Mountain View, Californie, Etats-Unis	BIND
F	192.5.5.241	2001:500:2f::f	ns.isc.org	ISC	trafic distribué par anycast	BIND
G	192.112.36.4		ns.nic.ddn.mil	Defense Information Systems Agency	Columbus, Ohio, Etats-Unis	BIND
H	128.63.2.53	2001:500:1::803f:235	aos.arl.army.mil	U.S. Army Research Lab	Aberdeen, Maryland, Etats-Unis	NSD
I	192.36.148.17		nic.nordu.net	Autonomica	trafic distribué par anycast	BIND
J	192.58.128.30	2001:503:C27::2:30		VeriSign	trafic distribué par anycast	BIND
K	193.0.14.129	2001:7fd::1		RIPE-NCC	trafic distribué par anycast	NSD
L	199.7.83.42 (depuis novembre 2007, remplace 198.32.64.12)[2]			ICANN	trafic distribué par anycast	NSD
M	202.12.27.33	2001:dc3::35		WIDE Project	trafic distribué par anycast	BIND

Les plus anciens des serveurs possèdent une autre adresse. Il s'agit de ceux qui existaient avant que la règle de nommage actuelle (lettre.root-servers.net) ne soit mise au point.

Les limitations

Il n'est pas possible d'ajouter de nouveaux noms à cause des limites du protocole UDP. En effet les paquets UDP ne peuvent transporter que 512 octets de manière fiable et un fichier qui contiendrait plus de 13 serveurs dépasserait cette limite. Cependant les serveurs C, F, I, J, K, L et M sont maintenant éparpillés sur plusieurs continents. Ils utilisent anycast pour fournir ce service décentralisé. C'est ainsi que la plupart des serveurs DNS physiques sont à présent situés hors des États-Unis.

Il existe également des DNS alternatifs avec les propres serveurs racine en contradiction avec les serveurs DNS principaux. Le plus connu, AlterNIC, a fait couler beaucoup d'encre.

Les serveurs racines du DNS peuvent également être déclinés localement, sur les réseaux des FAI ou autres. Ils doivent être synchronisés avec le fichier de la zone racine du US Department of Commerce ainsi que le préconise l'ICANN. De tels serveurs ne sont pas des serveurs DNS alternatifs mais une déclinaison locale des serveurs racines du DNS A à M.

Étant donné que les serveurs racines du DNS jouent un rôle important dans l'organisation d'Internet, ils ont eu à subir des attaques à plusieurs reprises. Cependant aucune d'entre elles n'a causé assez de dommages pour obérer sérieusement les performances d'Internet.

Attaques des 21 et 22 octobre 2002

Petit rappel : Si je demande l'adresse IP du site fr.wikipedia.org, ma requête est envoyée à un serveur racine du DNS, qui va ensuite la diriger vers le serveur DNS pour le domaine de premier niveau .org. Si je sature un serveur racine du DNS, il ne pourra répondre à aucune requête. Si je sature les 13 serveurs racines du DNS, les 13 serveurs ne pourront répondre à aucune requête. En fait, si les 13 serveurs racines du DNS tombaient en panne, plus rien (ou presque) ne fonctionnerait sur le net, mis à part les appels par IP.

Les 21 et 22 octobre 2002, la racine complète du DNS a été attaquée, c'est-à-dire les 13 serveurs A à M. L'attaque a connu un relatif succès puisque 7 serveurs sur 13 ont cessé de fonctionner.

Toutefois, l'attaque n'a pas provoqué de grandes perturbations du réseau mondial, ce qui démontre encore une fois la puissance de chacun des serveurs. En fait, l'ensemble des requêtes peut être assuré par un seul serveur selon le PDG de Verisign, qui administre deux DNS root.

L'attaque a été réalisée selon la méthode DoS (déni de service). Les pirates ont pu grâce à un parc de machines gigantesque générer un nombre de requêtes deux à trois fois supérieur à la capacité de charge des treize serveurs visés, soit quarante fois le volume habituel des requêtes !

A la suite de cette attaque, le système Anycast a été mis en place pour neutraliser les attaques de type DoS.

Notes et références

Voir aussi

Articles connexes

• Anycast
• Empoisonnement du cache DNS
• IPv6

Liens externes

• Root Server Technical Operations Association
• DNS Root Server System Advisory Committee
• Bogus Queries received at the Root Servers
• RFC 2826 - IAB Technical Comment on the Unique DNS Root

• Portail sur Internet