Resolver Memulai Pencarian Dari Cache Atau Hierarki DNS
Perangkat biasanya mengirim query ke resolver rekursif yang disediakan jaringan, sistem, atau layanan DNS tertentu. Jika jawaban masih tersimpan dan valid di cache, resolver dapat mengembalikannya tanpa pencarian lanjutan. Jika tidak, resolver mengikuti delegasi dari root menuju nameserver TLD lalu authoritative nameserver domain. Proses ini dirancang agar database DNS dapat didistribusikan dan dikelola oleh banyak pihak tanpa satu server menyimpan seluruh nama di internet.
Resolver yang digunakan perangkat belum tentu berada di router rumah. Sistem operasi, browser, VPN, atau konfigurasi enterprise dapat memilih resolver sendiri. Teknologi seperti DoH juga memungkinkan browser mengirim query melalui HTTPS ke resolver tertentu. Karena itu, dua perangkat pada jaringan yang sama dapat memperoleh perilaku DNS berbeda jika konfigurasi resolvernya tidak sama.
Record DNS Menentukan Jenis Jawaban Yang Dibutuhkan
A record menyimpan alamat IPv4 dan AAAA menyimpan alamat IPv6. CNAME membuat sebuah nama menjadi alias untuk nama lain, sedangkan MX menentukan tujuan email. Browser yang membutuhkan alamat sebuah hostname tidak selalu menerima IP langsung dari query pertama karena CNAME dapat mengarahkan resolver ke nama lain yang kemudian perlu dicari. Hasil akhir juga dapat berbeda menurut lokasi atau kebijakan layanan karena satu hostname dapat memiliki beberapa alamat.
Jawaban DNS juga dapat berisi record tambahan atau mengikuti chain alias. Resolver biasanya membatasi loop dan jumlah langkah agar konfigurasi CNAME yang salah tidak menyebabkan pencarian tanpa akhir. Aplikasi umumnya tidak melihat detail seluruh proses karena resolver mengembalikan hasil akhir yang siap digunakan, tetapi troubleshooting dapat memerlukan pemeriksaan chain tersebut.
Cache Dan TTL Mengurangi Beban Tetapi Membuat Perubahan Bertahap
TTL memberi petunjuk berapa lama jawaban dapat disimpan oleh cache. Resolver yang masih memiliki record lama dapat terus menggunakannya sampai masa validnya berakhir, sementara resolver lain yang cache-nya kosong sudah memperoleh data baru. Negative caching juga dapat menyimpan informasi bahwa nama tertentu belum ditemukan. Karena itu, ketika memindahkan server atau mengganti record, waktu perubahan perlu direncanakan berdasarkan TTL sebelumnya, bukan hanya TTL yang baru dipasang.
Cache terdapat pada beberapa lapisan: aplikasi, sistem operasi, resolver lokal, dan resolver rekursif dapat menyimpan data. Mengosongkan cache browser tidak selalu mengosongkan cache sistem atau resolver upstream. Karena itu, ketika menguji perubahan DNS, gunakan alat query yang dapat menanyakan nameserver authoritative secara langsung untuk membandingkan jawaban sumber dengan jawaban resolver.
DNSSEC Dan Transport Terenkripsi Menyelesaikan Masalah Yang Berbeda
DNSSEC menambahkan signature kriptografis agar resolver yang melakukan validasi dapat memeriksa keaslian data DNS. DNS over HTTPS atau DNS over TLS mengenkripsi jalur query antara klien dan resolver, tetapi tidak menggantikan validasi DNSSEC. Keduanya juga tidak menggantikan HTTPS pada website. Memahami perbedaan antara resolusi nama, integritas jawaban, privasi query, dan keamanan koneksi web mencegah anggapan bahwa satu teknologi melindungi seluruh jalur internet.
DNSSEC menggunakan rantai kepercayaan melalui record dan signature yang terkait dari parent hingga zone. Jika konfigurasi signature atau delegation signer tidak sesuai, resolver yang melakukan validasi dapat menganggap jawaban bogus walaupun record A atau AAAA tampak benar. Karena itu, aktivasi DNSSEC perlu dikoordinasikan dengan pengelola zone dan registrar.
