13 корневых серверов Интернета

Частые вопросы о корневых серверах

Сколько существует корневых серверов?

Существует 13 идентичностей корневых серверов, от A до M, но каждая из них — это кластер из множества машин, распределённых по миру через anycast. Всего более 1 700 экземпляров более чем в 130 странах, так что запрос из Москвы, Алматы или Минска обслуживает ближайший узел, а не один компьютер в США.

Почему именно 13?

Из-за ограничения исходного протокола DNS: ответ по UDP должен был умещаться в 512 байт, и 13 записей «имя и адрес» — это то, что помещается вместе с вопросом. Вместо добавления новых идентичностей операторы размножили каждую через anycast, поэтому за 13 именами стоят более 1 700 серверов.

Кто управляет корневыми серверами?

Двенадцать организаций: Verisign (A и J), USC-ISI (B), Cogent (C), Университет Мэриленда (D), NASA (E), Internet Systems Consortium (F), Министерство обороны США (G), US Army Research Lab (H), Netnod (I), RIPE NCC (K), ICANN (L) и проект WIDE (M). ICANN и IANA координируют корневую зону, а Verisign публикует её как Root Zone Maintainer.

Где они находятся физически?

Везде. Город в таблице — это штаб-квартира оператора, но у каждой буквы есть экземпляры на всех континентах, размещённые на точках обмена трафиком. Три оператора находятся за пределами США (Netnod в Стокгольме, RIPE NCC в Амстердаме, WIDE в Токио), а экземпляры нескольких букв есть в России и в большинстве стран Европы.

Можно ли указать корневой сервер как свой DNS, например 198.41.0.4?

Нет. Корневые серверы авторитативны только для корневой зоны: они не разрешают имена за вас, а лишь отвечают ссылкой на серверы домена верхнего уровня, о котором вы спросили (.com, .ru, .org). Компьютер с корневым сервером в качестве DNS не сможет открыть ни одного сайта. Нужен рекурсивный резолвер, например 1.1.1.1, 9.9.9.9 или 8.8.8.8.

Что на самом деле отвечает корневой сервер?

Только одно: какие серверы имён авторитативны для домена верхнего уровня. Когда ваш резолвер впервые ищет example.ru, корень сообщает, где серверы .ru, .ru сообщает, где серверы example.ru, а те дают окончательный ответ. Резолверы кэшируют ссылку на .ru двое суток, так что на практике к корню они обращаются очень редко.

Что произойдёт, если корневой сервер упадёт или его атакуют?

Почти ничего. Трафик пострадавшей буквы перетекает на другие anycast-экземпляры, а остальные двенадцать продолжают отвечать. К тому же резолверы кэшируют ссылки на домены верхнего уровня на 48 часов, поэтому даже полный отказ стал бы заметен не сразу. Крупные DDoS-атаки 2002, 2007 и 2015 годов не вызвали ощутимых сбоев для пользователей.

Подписана ли корневая зона DNSSEC?

Да, с июля 2010 года, а корневой ключ (KSK) впервые сменили в октябре 2018 года. Валидирующие резолверы, такие как Quad9, Cloudflare и Google, проверяют цепочку подписей начиная с корня, и именно это позволяет распознавать подделанные DNS-ответы.