Корневые DNS-серверы

Корневая зона маленькая: в ней нет адресов сайтов, только список доменов верхнего уровня и серверов, обслуживающих каждый из них. Когда резолвер ничего не знает об имени, он идёт к корню, получает адреса серверов зоны .ru или .com, затем спрашивает уже их — и так спускается до авторитетного сервера домена.

Содержимое корневой зоны утверждает IANA, а готовую зону распространяет на серверы компания Verisign. Сами серверы обслуживают разные независимые организации — университеты, государственные агентства, некоммерческие и коммерческие компании.

Почему серверов тринадцать

Логически корень обслуживают 13 серверов с именами от a.root-servers.net до m.root-servers.net. Число выбрали в ранние годы DNS, чтобы список корневых серверов помещался в один ответ по UDP. Физически за каждой буквой стоят десятки и сотни машин в разных странах: они работают по технологии Anycast, и запрос попадает на ближайший экземпляр. Всего экземпляров больше тысячи.

Нагрузка на корень меньше, чем кажется. Резолверы кешируют ответы надолго: сведения о серверах зоны .com хранятся до двух суток, поэтому к корню обращаются за малой долей запросов. Адреса самих корневых серверов резолвер знает заранее — из встроенного файла подсказок, в BIND он называется named.root.

Как посмотреть самому

Утилита dig показывает и список корневых серверов, и путь разрешения имени от корня:

dig . NS +short
dig @a.root-servers.net ru. NS
dig example.com +trace

Вторая команда вернёт не ответ, а направление — список серверов зоны .ru. Это и есть работа корня: он не знает адрес сайта, но знает, у кого спросить.

Что будет при отказе

Одновременный отказ всех тринадцати систем практически невозможен: у них разные операторы, программы и площадки. Атаки на корень случались, но пользователи их почти не заметили — выручали кеш резолверов и большое число экземпляров.