Comment fonctionne un serveur DNS : Le processus complet de résolution
Le Domain Name System (DNS) traduit noms lisibles (example.com) en adresses machine (93.184.216.34). Voici le parcours complet d'une requête :
1. La requête client
Vous tapez example.com dans votre navigateur. Le résolveur stub (OS) vérifie :
- Fichier hosts local
- Cache local (basé TTL)
- Si échec → envoie requête récursive au résolveur récursif configuré (FAI, Google 8.8.8.8, Cloudflare 1.1.1.1, etc.)
2. Résolution récursive (Le travail du résolveur)
Le résolveur récursif parcourt la hiérarchie :
Racine (.) → TLD (.com) → Autoritatif (example.com) → Réponse - Serveurs racine (13 clusters, anycast) : Résolveur demande
.pour NS.com. Obtient délégation vers serveurs TLD.com. - Serveurs TLD (Verisign pour .com) : Résolveur demande
.compour NSexample.com. Obtient délégation vers NS autoritatifs (ex.ns1.example.com). - Serveurs autoritatifs : Résolveur demande
ns1.example.compour enregistrement A/AAAAexample.com. Obtient IP(s).
3. Mise en cache et réponse
- Résolveur met en cache chaque réponse selon TTL (Time To Live).
- Renvoie réponse finale au client.
- Client met en cache localement (OS/navigateur).
4. Itératif vs Récursif
- Récursif : Résolveur fait tout le travail, renvoie réponse finale. (Ce qu'utilisent clients.)
- Itératif : Résolveur renvoie meilleure délégation qu'il a ; client parcourt arbre. (Serveurs racine/TLD/autoritatifs répondent itérativement.)
5. Types d'enregistrements ressources clés
| Type | Usage |
|---|---|
| A | Adresse IPv4 |
| AAAA | Adresse IPv6 |
| CNAME | Alias (www → example.com) |
| MX | Échangeurs mail (priorité + hôte) |
| TXT | Texte arbitraire (SPF, DKIM, vérification) |
| NS | Délégation (NS autoritatifs pour zone) |
| SOA | Métadonnées zone (série, refresh, retry, expire, TTL min) |
| PTR | DNS inverse (IP → nom) |
| SRV | Localisation service (port, cible, priorité, poids) |
| CAA | Autorisation Autorité de Certification |
6. Améliorations modernes
- DNSSEC : Signatures cryptographiques sur enregistrements (anti-spoofing)
- DoH / DoT : DNS over HTTPS/TLS (chiffre requêtes)
- EDNS Client Subnet : Géoroutage pour CDN
- DANE : Enregistrements TLSA pour épinglage certificats
Tout en <50 ms typiquement. La hiérarchie, le cache, et l'anycast racine le rendent quasi instantané.