Zone DNS

Le Domain Name System (DNS) est un système hié­rar­chique à l'échelle mondiale per­met­tant de gérer les données associées à des domaines sur Internet. Un domaine est un nom lisible par l’homme qui peut être fa­ci­le­ment mémorisé et saisi à la main. L’un des prin­ci­paux objectifs du DNS réside dans la ré­so­lu­tion de nom, c’est-à-dire la mise en cor­res­pon­dance de noms de domaine avec des adresses IP. Le DNS constitue ainsi l’un des piliers de la structure technique d’Internet. Voici quelques exemples de ré­so­lu­tion de nom :

D’un point de vue technique, le DNS est composé d’un réseau de serveurs de noms. Mais quel est le lien entre les noms de domaine et les serveurs de noms ? Où se trouvent les in­for­ma­tions dans les faits et comment les in­for­ma­tions des dif­fé­rents domaines sont-elles séparées ? Pour vous aider à mieux com­prendre, nous vous ex­pli­quons ici le terme « zone DNS »

Le terme zone DNS, tra­duc­tion littérale de l’ex­pres­sion anglaise « DNS zone », vient d’une spé­ci­fi­ca­tion publiée par l’Internet En­gi­nee­ring Task Force (IETF) en 1987. Le document RFC 1035 « Domain Names - Im­ple­men­ta­tion And Spe­ci­fi­ca­tion » présente la relation entre les serveurs de noms et la zone DNS :

Le fichier de zone DNS, également appelé « fichier de zone » en français, sert de base technique pour l’en­re­gis­tre­ment des in­for­ma­tions DNS d’une zone. Il s’agit d’un fichier texte en­re­gis­tré dans le système de fichiers d’un serveur. La structure d’un fichier de zone DNS est également précisée dans le document RFC 1035 évoqué plus haut. Par dé­fi­ni­tion, la structure d’un fichier de zone est basée sur des lignes, avec à chaque fois une directive ou un en­re­gis­tre­ment de res­sources par ligne.

Les di­rec­tives com­men­cent avec un signe dollar « $ » et indiquent au serveur d’effectuer une action ou d’appliquer un réglage à la zone. L’ins­truc­tion « $INCLUDE » permet par exemple d’intégrer d’autres fichiers de zone su­bor­don­nés. Cette option est utile pour mo­du­la­ri­ser les entrées du fichier de zone. Ha­bi­tuel­le­ment, toutes les di­rec­tives sont listées en début de fichier de zone.

Un fichier de zone faisant référence à un serveur de noms spé­ci­fique peut être dis­po­nible en tant qu’original éditable. Dans ce cas, le serveur hé­ber­geant ce fichier est un serveur DNS primaire. Si le fichier de zone est uni­que­ment dis­po­nible en tant que copie en lecture seule obtenue auprès d’une source externe, on parle alors de serveur DNS se­con­daire. Un fichier de zone peut décrire une zone DNS en faisant autorité ou renfermer le contenu d’un cache DNS. Penchons-nous à nouveau sur la dé­fi­ni­tion indiquée dans la requête RFC 1035 :

Si le serveur ne parvient pas à trouver une zone, par ex. en raison d’une erreur technique dans le fichier de zone, le serveur de noms répond à une requête cor­res­pon­dante avec l’erreur NXDOMAIN.

Le terme zone DNS est utilisé pour plusieurs concepts, parfois bien distincts. Nous vous pré­sen­tons ici une liste des termes les plus utilisés.

La zone DNS racine est le niveau hié­rar­chique le plus élevé dans l’espace de noms DNS. Dans le nom de domaine, elle est re­pré­sen­tée par un point final. Si un nom de domaine comporte un point final, on parle également de « Fully Qualified Domain Name » (FQDN). « example.com. » est par exemple le FQDN du domaine « example.com ». Dans le FQDN, on peut observer un point final après le « .com ».

La zone DNS racine se reflète dans les 13 serveurs de noms racines du DNS et contient des in­for­ma­tions sur les serveurs de noms faisant autorité pour les domaines de premier niveau (TLD pour Top Level Domains). Une requête adressée à un serveur de noms DNS racine permet par ex. de trouver un serveur de noms faisant autorité pour un domaine de premier niveau spé­ci­fique à un pays, également appelé domaine de premier niveau national (ccTLD pour Country Code Top Level Domain). Aujourd’hui, la zone DNS racine est signée avec DNSSEC afin de la protéger contre les réponses DNS fal­si­fiées.

La li­mi­ta­tion à 13 serveurs de noms DNS racines pré­ci­sé­ment est d’ordre technique. Les serveurs racines disposent des noms de domaine « a.root-servers.net » à « m.root-servers.net ». En utilisant la tech­no­lo­gie Anycast, on peut disposer d’un nombre beaucoup plus important de serveurs physiques pour répondre aux requêtes adressées à la zone DNS racine. Le site internet officiel de la Root Server Technical Ope­ra­tions As­so­cia­tion présente une liste des serveurs racines en précisant leur lo­ca­li­sa­tion géo­gra­phique.

Le concept de zone DNS décrit jusqu’à présent et le fichier de zone cor­res­pon­dant servent à la « recherche DNS directe » (« Forward DNS Lookup »), c’est-à-dire à la ré­so­lu­tion de noms de domaines en adresses IP. Dans le fichier de zone, on utilise des en­re­gis­tre­ments « A » à cet effet. Le terme « Forward Zone » est souvent utilisé pour décrire un tout autre concept. Il s’agit de la trans­mis­sion des requêtes DNS d’un résolveur DNS procédant à la mise en cache à un serveur de noms faisant autorité. Dans ce cas, « forward » est utilisé comme verbe, de la même façon que l’on « forward » (fr. transfère) un email par exemple.

De façon analogue au « Forward Lookup », il existe également le « Reverse DNS Lookup ». L’adjectif « reverse » (en français : « inversé ») renvoie au fait que le mécanisme est exac­te­ment l’inverse de celui appliqué dans la recherche de DNS directe : ici, les adresses IP des serveurs sont traduites en noms de domaine cor­res­pon­dants.

On entend par « zone de recherche inversée » un fichier de zone séparé dé­fi­nis­sant la ré­so­lu­tion des adresses IP en noms de domaine. Un fichier de zone DNS inversé contient les mêmes en­re­gis­tre­ments SOA et NS que le fichier de zone cor­res­pon­dant dans une recherche directe. Toutefois, on utilise des en­re­gis­tre­ments « PTR » à la place des en­re­gis­tre­ments « A ». Un en­re­gis­tre­ment « PTR » associe au nom de domaine cor­res­pon­dant une adresse IP dotée du format « z.y.x.w.in-addr.arpa. ».

Comme nous l’avons déjà évoqué, les termes « zone DNS » et « fichier de zone » sont souvent utilisés comme synonymes. Par con­sé­quent, lorsqu’on parle de serveurs DNS primaires et de serveurs DNS se­con­daires, on parle également de zones DNS primaires et se­con­daires. On entend alors le fichier de zone en­re­gis­tré sur un serveur DNS primaire ou se­con­daire.

Une zone DNS est un concept ad­mi­nis­tra­tif. Pour rappel, une zone DNS définit une partie de l’espace de noms DNS gérée par une or­ga­ni­sa­tion ou une personne spé­ci­fique. En revanche, un serveur DNS est un composant physique de l’in­fras­truc­ture technique d’Internet. Un serveur peut faire autorité pour une ou plusieurs zones. Toutefois, il peut également s’agir d’un résolveur DNS ne faisant autorité pour aucune zone qui se contente de conserver les requêtes DNS déjà résolues dans le cache. Par con­sé­quent, une zone DNS ne peut pas exister sans serveur de noms ; à l’inverse, un serveur de noms ne définit pas né­ces­sai­re­ment une zone DNS.