DNS pubblico e DNS privato, che differenza c'è?

Entrambi adempiono alla stessa funzione: decodificare nomi e indirizzi. I server dei nomi sono dei server presenti su Internet che funzionano in modo molto simile a un elenco telefonico, convertendo nomi di dominio leggibili dall'uomo (ad esempio, ibm.com) in indirizzi IP numerici, che possono poi essere interpretati dai computer. Si tratta di un processo di matchmaking essenziale che consente ai browser web di trovare esattamente le giuste destinazioni web che gli utenti cercano.

Di seguito sono riportati i passaggi necessari per il funzionamento del DNS pubblico: 

1. Le attività di risoluzione dei nomi iniziano quando un utente richiede un nome di dominio. Gli utenti inseriscono le richieste DNS digitando l'indirizzo di un sito web nel browser preferito.
2. Il dispositivo dell'utente (noto anche come endpoint) esegue un controllo DNS locale per verificare se la cache del dispositivo o i server DNS locali contengono già un indirizzo IP corrispondente a quel dominio.
3. Se il controllo DNS locale non riesce a trovare una corrispondenza, la richiesta viene inoltrata a un risolutore DNS ricorsivo. Il risolutore è spesso fornito da un provider di servizi Internet (ISP) o da un servizio DNS pubblico, ad esempio tramite fornitori di DNS come Google o Cloudflare.
4. Il risolutore contatta un server dei nomi radice che indirizza le query DNS guidandole verso un server di dominio di primo livello (TLD) in grado di gestire la richiesta.
5. Dopodiché, il risolutore invia una query al server TLD, che a sua volta fa riferimento al server dei nomi autorevole per quel particolare dominio.
6. Il server dei nomi autorevole in questione riserva l'indirizzo IP per il sito web e lo restituisce al risolutore ricorsivo.
7. Il risolutore carica i dati DNS nella cache DNS per un uso successivo e invia anche l'indirizzo IP approvato al dispositivo che ha emesso la richiesta originale.
8. Il processo di risoluzione DNS è ora completo. Il browser del dispositivo può connettersi al server web tramite questo indirizzo IP e scaricare il contenuto del sito web.

Ora, si tratta di una discreta quantità di routing in un senso e nell'altro solo per ottenere un indirizzo URL utilizzabile. L'aspetto sorprendente è la velocità con cui vengono eseguite tutte queste risposte DNS.

Ma quale velocità? Dipende in qualche modo da problemi legati alle prestazioni come la connettività e la latenza di trasmissione, ma nella sua fase più lenta, il processo DNS pubblico potrebbe richiedere alcuni secondi. Tuttavia, alla massima velocità, lo stesso processo potrebbe richiedere millisecondi.

Una volta che l'indirizzo IP è stato negoziato e definito correttamente, l'utente accede all'indirizzo IP. Prima che il contenuto inizi a essere scaricato come record DNS, viene assegnata una designazione Time to Live (TTL), ovvero un'impostazione che controlla quante volte gli stessi record DNS possono essere scaricati.

I TTL vengono installati per impedire che i contenuti restino online per periodi di tempo eccessivamente lunghi. I TTL funzionano come un contatore che scatta ogni volta che si accede a un contenuto online. Quando il contatore raggiunge lo zero, il contenuto non è più disponibile per l'utente.

Quando un'organizzazione o un individuo opta per la massima privacy gestendo personalmente il proprio DNS, il processo che ne regola il funzionamento richiede meno passaggi incrementali. Il processo tende inoltre a procedere a una velocità notevolmente superiore rispetto alla velocità operativa dei servizi DNS pubblici. Ciò avviene in gran parte attraverso l'isolamento imposto.

Il termine “DNS privato” ha due significati specifici, a seconda di dove e come viene implementato il DNS privato. Può riferirsi a zone DNS private gestite all'interno di un ambiente di cloud computing in modo da poter accedere alle risorse interne. In alternativa, può anche indicare un servizio DNS privato e interno gestito sul dispositivo di un utente per proteggere da contenuti specifici e facilitare la crittografia delle query.

Il processo di ricerca e risoluzione dei nomi per le zone DNS private si riduce ai seguenti passaggi:

1. L'utente inserisce un indirizzo web (ad esempio, www.esempio.com) nel suo browser web.
2. Il dispositivo in uso invia una query DNS, cercando l'indirizzo IP corrispondente a quel sito web.
3. È a questo punto che i percorsi del DNS pubblico e del DNS privato divergono completamente. Il dispositivo utilizza un tunnel crittografato per raggiungere un server DNS privato (a differenza del DNS pubblico in cui verrebbe utilizzata una query crittografata). I protocolli interni di sicurezza come DNS over TLS (DoT) o DNS over HTTPS (DoH) forniscono i canali sicuri necessari. Le reti private virtuali (VPN) soddisfano la stessa funzionalità di crittografia con l'aiuto di un provider di VPN.
4. Il server DNS privato riceve la richiesta crittografata e la elabora individuando l'indirizzo IP corretto e ritrasmettendolo al dispositivo originale utilizzando la stessa connessione crittografata in modo sicuro.
5. Una volta che l'indirizzo IP corretto è stato inviato al dispositivo, quest'ultimo si connette in modo sicuro al server del sito web.

Sei aree di confronto diretto descrivono accuratamente le principali differenze (e le sottili somiglianze) tra DNS pubblico e DNS privato.

Lo scopo generale del DNS pubblico e di quello privato è sorprendentemente simile. Entrambi traducono i nomi di dominio.

Il DNS pubblico decodifica i nomi di dominio pubblici in un indirizzo IP pubblico appropriato in modo che gli utenti possano accedere a tali siti su Internet.

Il DNS privato traduce i nomi DNS utilizzati internamente in indirizzi IP interni, consentendo così a diverse entità all'interno di quel gruppo o di quell'organizzazione di interagire in modo efficace.

La sicurezza è un fattore importante in questo confronto. Dopotutto, la sicurezza è il motivo principale per cui abbiamo scelto di adottare una tecnologia di DNS privato. In genere, le organizzazioni che necessitano del massimo livello di sicurezza scelgono di utilizzare un DNS privato, che nasconde i dettagli della rete all'Internet pubblico.

La sicurezza del DNS pubblico offre molte meno misure di protezione, ma compensa questo squilibrio con altre caratteristiche progettate per proteggere da tentativi di phishing e malware .

Gli sviluppatori utilizzano abitualmente le estensioni di Domain Name System Security (DNSSEC) per rafforzare i protocolli di sicurezza DNS aggiungendo firme digitali. Le tradizionali misure di sicurezza Internet come i firewall possono essere implementate sia con il DNS pubblico che con il DNS privato. 

Per quanto riguarda chi può accedere a un determinato DNS, tutto dipende dal tipo di DNS in questione. Se si tratta di un DNS pubblico, può accedervi chiunque disponga di un dispositivo con accesso a Internet.

Al contrario, all'interno di un DNS privato, l'accesso è in genere strettamente controllato e radicato nel livello on-premise. Inoltre, l'accesso è limitato agli utenti specifici di una rete interna, come i lavoratori che prestano servizio presso una sede aziendale o tramite un cloud privato virtuale.

Per l'accesso dietro le quinte, gli amministratori di rete utilizzano uno strumento di query come nslookup (ricerca del server dei nomi) per cercare l'indirizzo IP ed eseguire attività generali di risoluzione dei problemi tramite prompt della riga di comando.

Chi controlla e gestisce il server che verrà utilizzato? La risposta semplice nel caso dei DSN privati: la società o il gruppo che utilizza quella rete interna. Gestisce e controlla tutti i server DNS privati.

Nel caso dei DNS pubblici, il server è gestito da un provider di servizi Internet (ISP) o da un provider di terze parti come Cloudflare o Google. In entrambi i casi, è un'entità esterna a mantenere il controllo diretto sul server.

Le prestazioni non sono più una questione così netta come un tempo. In passato, era scontato che il DNS privato offrisse prestazioni più rapide rispetto al DNS pubblico. Dopotutto, le informazioni ricercate tramite query interne dovevano percorrere una distanza minore se erano contenute in una rete privata. Ciò ha reso la latenza meno problematica.

Tuttavia, ora il livello di prestazioni necessario per raggiungere velocità fulminee sul DNS pubblico è spesso più raggiungibile, a seconda del fornitore di servizi. Questo aumento è dovuto alle reti globali che offrono una maggiore velocità di rete e una trasmissione più stabile. La scelta tra DNS pubblico o privato in termini di prestazioni dipende in gran parte dalla rete in questione.

In questo ambito, il DNS privato offre molte più opzioni rispetto al DNS pubblico. Il DNS privato consente a un gruppo o a un'azienda di creare configurazioni personalizzate in base alle esigenze di quello specifico team. Il DNS personalizzato potrebbe includere la possibilità di eseguire schemi di denominazione dei domini personalizzati o persino di filtrare i contenuti.

In alternativa, il DNS pubblico è limitato nelle opzioni di personalizzazione che offre. Gli sviluppatori creano le configurazioni in un formato standard per tutti gli utenti del DNS pubblico.

Il DNS è stato oggetto di cambiamenti significativi e ne subirà ancora man mano che la tecnologia correlata continuerà a progredire e cercherà di stare al passo con l'attuale espansione globale degli utenti.

Prendiamo ad esempio il protocollo di routing Internet IPv4 . L'IPv4 (Internet Protocol versione 4) è stato sviluppato negli anni '70 e introdotto formalmente all'inizio degli anni '80, prima della rivoluzione di Internet. Gli indirizzi IPv4 sono etichette numeriche a 32 bit che possono essere assegnate a qualsiasi dispositivo connesso a una rete di computer e sono essenziali per scopi di comunicazione e routing. Gli indirizzi IPv4 sono espressi come lunghe stringhe di numeri, separate a vari intervalli tramite punti.

In base alle leggi della probabilità, possiamo calcolare che con la quantità di numeri interi contenuti in ogni indirizzo IPv4, sono possibili circa 4,3 miliardi di indirizzi. E anche questo numero enorme si è rivelato insufficiente per soddisfare il pool sempre crescente di dispositivi tecnologici che devono essere connessi alle reti.

E qui entra in scena l'IPv6 (Internet Protocol versione 6), introdotto nel 1995 per mitigare questa situazione di “sovraffollamento”. La prima cosa che si nota confrontando i due protocolli è quanto sia più grande l'IPv6, che offre indirizzi a 128 bit esattamente 4 volte più grandi delle loro controparti IPv4.

Questo aumento porta a un pool di possibili indirizzi così ampio che è difficile da immaginare. La cifra in questione è 340 trilioni di trilioni di trilioni, calcolata come 3,4 x 10 alla 38a potenza ed espressa numericamente come 3,4 seguito da 38 zeri. È difficile immaginare che un pool così tanto ampio possa mai prosciugarsi. Eppure, lo stato di utilizzo dei computer in tutto il mondo è tale che la sua crescita senza precedenti richiederebbe una risposta così enorme.

Inoltre a fornire quattro volte lo spazio per gli indirizzi dell'IPv4, l'IPv6 include Stateless Address Autoconfiguration (SLAAC). Questa caratteristica consente ai dispositivi di configurare i propri indirizzi senza dover ricorrere a un server DHCP esterno, riducendo così anche il traffico di rete.

L'IPv6 utilizza anche un tipo avanzato di record DNS che abbina un nome di dominio a un indirizzo IPv6 idoneo. Questo record DNS è chiamato “AAAA” e rappresenta un significativo passo avanti rispetto al “record A”, ovvero il record DNS che contiene un indirizzo IPv4 appropriato. La differenza tra un record AAAA (talvolta chiamato Quad-A-Record) e un record A è principalmente una maggiore capacità, affinché gli AAAA possano ospitare il pesante identificatore a 128 bit utilizzato.

Un modo efficace per superare i record A e AAAA è quello di creare un CNAME (che sta per nome canonico). Un CNAME è un tipo di record DNS che funziona come alias per determinati domini o sottodomini. Una piccola limitazione da tener presente è che un nome host con un CNAME non può abilitare record A o record AAAA che già riportano quel nome.

L'IPv6 non è l'unico protocollo chiave che è stato aggiornato nel tempo. Il Transport Layer Security (TLS) è un protocollo altamente crittografato che salvaguarda le comunicazioni basate sul web e di altra rete. Il TLS è un aggiornamento del 1999 di un protocollo precedente denominato Secure Sockets Layer (SSL). Come l'SSL, il TLS fornisce un mezzo per autenticare gli utenti, bloccare gli accessi non autorizzati e preservare e verificare l'integrità dei dati.