🌐 Dans les coulisses de l’Internet : Comprendre le DNS (Vue d’un Ingénieur)

Si je vous demande comment vous accédez à votre site préféré, vous me répondrez sûrement : “Je tape son nom dans la barre d’adresse”. C’est simple, intuitif, et humain. Pourtant, derrière cette apparente simplicité se cache l’une des infrastructures les plus critiques et fascinantes de l’Internet : le DNS (Domain Name System).

En tant qu’ingénieur système et réseaux, je passe une bonne partie de mon temps à configurer, débugger ou sécuriser des flux DNS. Aujourd’hui, je vous propose d’enfiler votre casquette d’ingénieur pour comprendre ce qui se passe sous le capot.

📖 Le DNS, c’est quoi exactement ?

Dans le modèle OSI, le DNS opère sur la couche 7 (Application). Son rôle principal est souvent comparé à un annuaire téléphonique : il traduit des noms de domaine compréhensibles par les humains (comme blog.example.com) en adresses IP routables (comme 192.0.2.1 en IPv4 ou 2001:db8::1 en IPv6) que les machines utilisent pour communiquer.

D’un point de vue réseau, le DNS utilise historiquement le protocole UDP sur le port 53. Pourquoi UDP ? Pour sa rapidité (mode non connecté). Cependant, il bascule sur le TCP port 53 lorsque la réponse dépasse 512 octets (fréquent avec les signatures DNSSEC) ou lors des transferts de zones (AXFR) entre serveurs.

🌳 Une architecture hiérarchique et distribuée

Le DNS n’est pas un énorme fichier texte stocké sur un serveur unique. C’est une immense base de données distribuée mondialement sous forme d’arbre inversé. Cette conception lui confère une résilience et une scalabilité exceptionnelles.

Voici comment cet arbre est structuré :

Serveur Racine (13) -> TLD (.fr, .com, .eu, etc) -> SLD (exemple) -> exemple.com

1. La Racine (.) : Le sommet. Géré par des entités comme l’ICANN, il existe 13 adresses IP “logiques” (de A à M) derrière lesquelles se cachent des milliers de serveurs physiques grâce au routage Anycast.
2. Les TLD (Top-Level Domains) : Ils gèrent les extensions génériques (.com, .net) ou géographiques (.fr, .uk).
3. Les SLD (Second-Level Domains) : C’est le domaine que vous louez chez votre registrar (ex: OVH, Gandi, AWS Route 53).
4. Les Sous-domaines : Les services spécifiques que vous créez (ex: www pour le web, api pour vos backends).

🕵️‍♂️ L’épopée d’une requête : Résolution DNS en 8 étapes

Que se passe-t-il exactement quand vous tapez www.example.com ? Si l’IP n’est ni dans le cache de votre navigateur, ni dans celui de votre OS, votre machine interroge un résolveur récursif (souvent la box de votre FAI, ou un DNS public comme 1.1.1.1 ou 8.8.8.8).

🛠️ La boîte à outils du SysAdmin : Les Enregistrements (Records)

Lorsqu’on configure une “Zone DNS” (le fichier de configuration du domaine), on manipule des enregistrements. Voici les incontournables :

• A (Address) : Pointe un nom vers une adresse IPv4 (ex: 192.0.2.42).
• AAAA (Quad-A) : Pointe un nom vers une adresse IPv6.
• CNAME (Canonical Name) : Un alias. Fait pointer un nom vers un autre nom. Très utilisé dans le Cloud pour pointer vers des Load Balancers, mais interdit à la racine du domaine (l’Apex).
• MX (Mail Exchange) : Indique les serveurs de messagerie responsables de la réception des emails pour le domaine, avec une notion de priorité (ex: 10 mail1.example.com).
• TXT (Text) : Initialement pour des commentaires, il est vital aujourd’hui pour la SSI : on y stocke les clés de sécurité (SPF, DKIM, DMARC) ou les preuves de propriété (pour les certificats SSL Let’s Encrypt).
• NS (Name Server) : Délègue la gestion d’une zone ou sous-zone à un autre serveur DNS.

🔒 L’œil de l’expert SSI : La sécurité du DNS

Créé au début des années 80, le DNS originel est un protocole de confiance, en clair et sans authentification. Autant dire que c’est un terrain de jeu privilégié pour les attaquants.

1. Le DNS Cache Poisoning (Empoisonnement de cache)

Si un attaquant réussit à envoyer une fausse réponse DNS au résolveur avant le serveur légitime, le résolveur met en cache cette fausse IP. Toute une entreprise peut ainsi se retrouver redirigée vers une page de phishing indétectable par l’utilisateur (l’URL dans le navigateur est la bonne !). La parade : DNSSEC (DNS Security Extensions). Il ajoute des signatures cryptographiques aux enregistrements pour garantir leur intégrité et leur authenticité.

2. Les attaques par amplification DDoS

Le DNS utilise UDP. Un attaquant peut usurper (spoofing) l’adresse IP de sa cible et envoyer de requêtes massives à des serveurs DNS mal configurés (Open Resolvers). Ces serveurs répondent à la victime. Comme la réponse DNS est souvent beaucoup plus volumineuse que la requête, la cible voit sa bande passante saturée. La parade : Filtrage anti-spoofing (BCP 38), limitation de taux (Rate Limiting) sur les serveurs, et désactivation de la récursivité ouverte.

3. La confidentialité : DoH et DoT

Par défaut, vos requêtes DNS (“Je visite le site de ma banque”) passent en clair sur le réseau. Pour chiffrer ces métadonnées, deux standards émergent :

• DoT (DNS over TLS) : Encapsule le DNS dans un tunnel TLS (Port 853).
• DoH (DNS over HTTPS) : Fait passer les requêtes DNS dans des requêtes web classiques HTTPS (Port 443). Attention, côté entreprise, le DoH est un casse-tête pour les équipes SSI car il contourne les pare-feux et le filtrage DNS d’entreprise !

🎯 Conclusion

Le DNS est la véritable colonne vertébrale d’Internet. Sa maîtrise est absolument indispensable pour tout ingénieur Système, Réseaux ou Cybersécurité. Une mauvaise configuration DNS peut entraîner des pannes massives (souvenez-vous de la panne mondiale de Facebook en 2021 !) ou de graves failles de sécurité.

Et vous, utilisez-vous les DNS de votre FAI, ou avez-vous monté votre propre Pi-Hole/Unbound à la maison ? Dites-le-moi en commentaire !

Si cet article technique vous a plu, n’hésitez pas à le partager ou à me poser vos questions d’ingénierie dans les commentaires.