Как работает DNS: путь запроса от имени сайта до IP-адреса

DNS (Domain Name System, система доменных имён) переводит имя сайта в IP-адрес сервера. Вы набираете checkroi.ru, компьютер спрашивает DNS-сервер, тот находит адрес 5.253.61.149, и только после этого браузер открывает соединение. Если ответ уже лежит в кэше, на это уходят миллисекунды. Если нет, резолвер проходит цепочку от корня интернета до сервера, который хранит записи домена.

DNS работает поверх UDP и TCP на порту 53, а в защищённых вариантах ходит через TLS и HTTPS. Где DNS стоит среди других протоколов, мы разбирали в статье о сетевых протоколах простыми словами. Ниже весь путь одного запроса на живом выводе команды dig, типы записей, кэш и проверка из командной строки.

Рекомендуем курсы по сетевому администрированию

• Skillbox9.7 ★Администрирование ОС Linux90 157 ₽3 месяца
• Нетология9.7 ★Профессия «Сетевой инженер»85 800 ₽12 месяцев
• Merion9.6 ★Сетевые технологии21 840 ₽2 месяца
• АПОК9.6 ★Системное администрирование и информационные технологии - курс переподготовки32 980 ₽576 часов
• Бруноям9.4 ★Онлайн-курс Администрирование Linux29 900 ₽2 месяца
• Дипломикс9.6 ★Управление и администрирование сетевых устройств информационно-коммуникационных систем10 900 ₽

Все 38 курсов→

Что такое DNS простыми словами

Компьютеры в сети находят друг друга по числовым адресам. Людям удобнее имена. DNS хранит соответствие «имя → адрес» и отдаёт его по запросу, причём не из одной базы, а из тысяч серверов, каждый из которых отвечает за свой кусок имён.

Аббревиатуру расшифровывают как Domain Name System. Слово «DNS-сервер» при этом означает две разные роли, и путаница между ними мешает понять остальное:

Ваш компьютер почти никогда не говорит с авторитативными серверами напрямую. Он спрашивает резолвер, а резолвер уже сам обходит иерархию.

DNS и IP-адрес: как они связаны

IP-адрес в привычной записи IPv4 состоит из четырёх чисел от 0 до 255, например 5.253.61.149. Из чего он складывается и зачем к нему маска, мы разбирали в статье про IPv4. Для IPv6 адрес длиннее, и DNS хранит его в отдельной записи.

Связь имени и адреса не один к одному. За одним именем может стоять несколько адресов, тогда резолвер отдаёт их списком, а клиент выбирает. И наоборот, на одном IP-адресе часто живут десятки сайтов.

Как сервер понимает, какой из них открыть? Браузер передаёт имя сайта в самом запросе, в заголовке Host. Разница между обычным и защищённым соединением в этот момент тоже важна, о ней в статье про HTTP и HTTPS.

Какие бывают DNS-серверы

Вторичных серверов заводят минимум один. Если первичный недоступен, вторичный продолжает отвечать, и сайт открывается.

Как работает DNS: путь одного запроса

Возьмём адрес checkroi.ru и пройдём весь путь, который проходит запрос, когда ни в одном кэше ответа ещё нет.

1. Кэш браузера и системы. Сначала ответ ищут локально: в памяти браузера, в кэше DNS-клиента операционной системы и в файле hosts.
2. Запрос к резолверу. Если локально пусто, система отправляет вопрос «какой A-адрес у checkroi.ru» резолверу из настроек сети. Обычно это сервер провайдера или роутер, который пересылает вопрос дальше.
3. Корневой сервер. Резолвер спрашивает один из корневых серверов. Тот не знает адреса сайта, но знает, кто отвечает за зону .ru, и возвращает список её серверов.
4. Сервер зоны .ru. Резолвер повторяет вопрос серверу зоны .ru. Тот отвечает: домен checkroi.ru обслуживают coco.bunny.net и kiki.bunny.net.
5. Авторитативный сервер домена. Резолвер спрашивает coco.bunny.net и получает окончательный ответ: 5.253.61.149, хранить 1800 секунд.
6. Ответ клиенту и кэш. Резолвер возвращает адрес компьютеру и запоминает его. Следующий пользователь того же резолвера получит ответ сразу, без обхода цепочки.

Этот путь видно командой dig +trace: она сама проходит цепочку от корня итеративными запросами, у резолвера берёт только список корневых серверов. Вот вывод с сервера, на котором работает наш сайт, снятый 27 октября 2026 года (строки сокращены):

$ dig +trace +nodnssec checkroi.ru A
.            87203   IN  NS  a.root-servers.net.
.            87203   IN  NS  b.root-servers.net.
...          (всего 13 имён, от a до m)
;; Received 239 bytes from 8.8.8.8#53(8.8.8.8) in 56 ms
ru.          172800  IN  NS  a.dns.ripn.net.
ru.          172800  IN  NS  c.tld-servers.ru.
...          (всего 6 серверов)
;; Received 426 bytes from 202.12.27.33#53(m.root-servers.net) in 265 ms
checkroi.ru. 345600  IN  NS  coco.bunny.net.
checkroi.ru. 345600  IN  NS  kiki.bunny.net.
;; Received 87 bytes from 194.190.122.17#53(c.tld-servers.ru) in 1 ms
checkroi.ru. 1800    IN  A   5.253.61.149
;; Received 56 bytes from 109.104.147.1#53(coco.bunny.net) in 41 ms

Каждый блок здесь соответствует шагу из списка. Корневой сервер m.root-servers.net ответил за 265 мс и отдал серверы .ru. Сервер зоны c.tld-servers.ru уложился в 1 мс. Последним ответил авторитативный coco.bunny.net, и только его ответ содержит сам IP-адрес.

Без кэша такой обход занял бы около трети секунды. С кэшем то же имя у резолвера отвечает за десятки миллисекунд, а повторный запрос из браузера не уходит в сеть вовсе.

Рекурсивный и итеративный запрос

В цепочке выше два режима работы. Компьютер отправляет резолверу рекурсивный запрос: «найди ответ сам и верни мне готовый адрес». Резолвер в ответ на такой запрос, по RFC 1034, «acts in the role of a resolver» и возвращает либо ответ, либо ошибку, но не ссылку на другой сервер.

Корень и зона .ru ведут себя иначе. Они отвечают в нерекурсивном режиме, только по своим данным, и вместо ответа выдают направление: «спроси вон тех». Такой обход по ссылкам называют итеративным, и выполняет его резолвер.

Иерархия DNS: корень, зоны и домены

Имя читается справа налево. В адресе mail.yandex.ru сначала идёт невидимый корень (точка в конце, которую обычно не пишут), потом зона верхнего уровня .ru, потом домен yandex, потом поддомен mail.

• Корень. Корневых серверов 13 по именам, от a.root-servers.net до m.root-servers.net. По данным root-servers.org, ими управляют 12 независимых организаций, а физически за этими именами стоит больше 2000 рабочих копий по всему миру. Запросы расходятся по этим копиям, а не идут в 13 точек. Похожим образом CDN раздаёт копии сайта поближе к посетителям.
• Зоны верхнего уровня. Национальные (.ru, .рф, .de) и общие (.com, .org). Зонами .RU и .РФ управляет Координационный центр доменов: по описанию на его сайте, он «является национальной регистратурой (администратором)» этих доменов.
• Домены второго уровня и ниже. Домен покупают у регистратора, и с этого момента имя закреплено за владельцем, пока он продлевает регистрацию. Если имя с вашим брендом успел занять кто-то другой, это уже киберсквоттинг. Владелец выбирает, какие серверы будут авторитативными для его зоны, и прописывает их у регистратора. Так происходит делегирование: зона .ru хранит не адрес сайта, а только ссылку на серверы домена.

У имён есть жёсткие пределы. По RFC 1035 одна метка между точками занимает не больше 63 октетов, а всё имя целиком не больше 255 октетов.

Протокол DNS: порт 53, UDP и TCP

DNS ещё и протокол: формат вопроса и ответа плюс правила их доставки. В модели OSI он стоит на прикладном уровне, поверх транспорта UDP или TCP. Классический DNS живёт на порту 53 и умеет работать и по UDP, и по TCP. Про сами порты и разницу между транспортами подробнее в статье о сетевых портах TCP и UDP.

Почему в основном UDP

Запрос и ответ обычно помещаются в один пакет. UDP не тратит время на установку соединения, поэтому один вопрос и один ответ обходятся дешевле, чем по TCP.

Ограничение пришло из исходной спецификации DNS: сообщения по UDP ограничены 512 байтами, а более длинные «are truncated and the TC bit is set». Получив урезанный ответ с флагом TC, клиент повторяет запрос по TCP.

Позже появилось расширение EDNS(0). В RFC 6891 в записи OPT есть поле «requestor’s UDP payload size»: клиент сообщает, какой самый большой UDP-ответ он способен собрать. Это та самая строка EDNS: version: 0, которую показывает dig.

TCP для DNS обязателен. RFC 7766 прямо требует: «All general-purpose DNS implementations MUST support both UDP and TCP transport». Если фаервол режет TCP на порту 53, крупные ответы перестанут доходить.

Как читать ответ DNS-сервера

Обычный запрос без трассировки показывает, что вернул резолвер. Вот ответ публичного резолвера Google на тот же вопрос:

$ dig checkroi.ru A
;; ->>HEADER<<- opcode: QUERY, status: NOERROR, id: 46184
;; flags: qr rd ra; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1

;; OPT PSEUDOSECTION:
; EDNS: version: 0, flags:; udp: 512
;; QUESTION SECTION:
;checkroi.ru.           IN  A

;; ANSWER SECTION:
checkroi.ru.        60  IN  A   5.253.61.149

;; Query time: 48 msec
;; SERVER: 8.8.8.8#53(8.8.8.8) (UDP)

• status: NOERROR значит, что имя существует и ответ найден. При несуществующем домене здесь будет NXDOMAIN.
• flags: qr rd ra: это ответ (qr), клиент просил рекурсию (rd), сервер её поддерживает (ra).
• В ANSWER SECTION лежит сама запись: имя, TTL в секундах, класс IN, тип A и адрес.
• В строке SERVER видно, кто ответил и по какому транспорту. С ключом +tcp тот же запрос уходит по TCP, и в строке появляется (TCP).

CheckroiПодборка курсов по сетевому администрированию38 курсов • 18 школСравните цены, школы, программу и найдите выгодные предложения по обучениюСравнить→

Типы DNS-записей

Запись типа A самая известная, но у домена обычно заведено несколько типов сразу: адрес сайта, почтовый сервер, подтверждения владения для поисковиков.

Так выглядят настоящие записи нашего домена, снятые командой dig с сервера:

checkroi.ru.  21600  IN  MX   10 mx.yandex.net.
checkroi.ru.  21600  IN  NS   coco.bunny.net.
checkroi.ru.  21600  IN  NS   kiki.bunny.net.
checkroi.ru.  900    IN  SOA  kiki.bunny.net. hostmaster.bunny.net. 2022032978 7200 900 1209600 86400
"v=spf1 ip4:5.253.61.149 a mx include:_spf.yandex.net ~all"

MX говорит, что почту для домена принимает mx.yandex.net. TXT-запись с SPF перечисляет, с каких адресов разрешено отправлять письма от имени домена. Записи для подтверждения прав нужны, например, когда сайт подтверждают в Яндекс Вебмастере.

У CNAME есть важное ограничение. По RFC 1034, «If a CNAME RR is present at a node, no other data should be present». Поэтому на сам домен checkroi.ru, где уже живут NS, SOA и MX, CNAME не ставят, а на поддомен вроде www ставят спокойно.

Кэш DNS и TTL: почему изменения видны не сразу

Каждая запись приходит со сроком хранения TTL. Пока срок не истёк, резолвер отдаёт копию из памяти и к авторитативному серверу не обращается. Подробно о том, какой TTL ставить и как его посмотреть, мы писали в отдельной статье про TTL в DNS.

В ответе резолвера TTL показывает, сколько секунд его копии осталось жить. Авторитативный сервер отдаёт для checkroi.ru 1800 секунд. Три запроса к публичным резолверам за десять секунд показали другое:

$ dig @8.8.8.8 checkroi.ru A +noall +answer
checkroi.ru.  314   IN  A  5.253.61.149
$ dig @8.8.8.8 checkroi.ru A +noall +answer     (через 7 секунд)
checkroi.ru.  49    IN  A  5.253.61.149
$ dig @77.88.8.8 checkroi.ru A +noall +answer
checkroi.ru.  1095  IN  A  5.253.61.149

У одного адреса 8.8.8.8 много узлов, и у каждого свой кэш со своим остатком. Поэтому после смены IP-адреса часть пользователей ещё какое-то время попадает на старый сервер. Решение: за сутки до переезда снизить TTL, переехать, а потом вернуть прежнее значение.

Ответ «такого домена нет» тоже хранится

Отрицательный ответ NXDOMAIN резолвер тоже кладёт в кэш. По RFC 2308 его срок «is taken from the minimum of the SOA.MINIMUM field and SOA’s TTL». У зоны checkroi.ru запись SOA приходит с TTL 900, а её последнее поле равно 86400. Берётся меньшее, 900 секунд.

На практике это значит вот что. Если вы зашли на новый поддомен раньше, чем завели для него запись, резолвер может ещё 15 минут отвечать, что такого имени нет.

Как очистить кэш DNS

• Windows: ipconfig /flushdns. В справке Microsoft сказано, что параметр «очищает и сбрасывает содержимое кэша сопоставителя DNS-клиента». Посмотреть кэш перед очисткой можно через ipconfig /displaydns.
• Linux с systemd-resolved: resolvectl flush-caches. По документации systemd, команда «Flushes all DNS resource record caches the service maintains locally».
• Кэш резолвера провайдера со своего компьютера не очистить. Остаётся дождаться TTL или временно спросить другой резолвер.

CheckroiПодборка курсов по администрированию Linux123 курса • 25 школСравните цены, школы, программу и найдите выгодные предложения по обучениюСравнить→

Канал основателя Checkroi Вани БуявцаЗабирайте промпты и обучение по нейросетям в моём Телеграм-каналеБольше 3 700 человек уже применяют Claude Code, ChatGPT и другие нейросети в работе, учёбе, бизнесе и жизниПерейти в канал→

Как проверить DNS самому: nslookup и dig

Для проверки хватит двух утилит. nslookup встроен в Windows и macOS, dig есть в macOS и показывает ответ подробнее. В Ubuntu обе команды ставятся пакетом bind9-dnsutils.

Ответ nslookup короче, чем у dig, но суть та же:

$ nslookup checkroi.ru 77.88.8.8
Server:     77.88.8.8
Address:    77.88.8.8#53

Non-authoritative answer:
Name:   checkroi.ru
Address: 5.253.61.149

Пометка «Non-authoritative answer» значит, что ответ пришёл от резолвера, а не от сервера, который хранит зону. Ошибки nslookup справка Microsoft расшифровывает так. «Nonexistent domain»: имени не существует. «No records»: имя есть, но записей запрошенного типа нет. «timed out»: сервер не ответил за отведённое время.

Чтобы обойти кэш и увидеть, что на самом деле записано в зоне, спросите авторитативный сервер напрямую:

$ dig @coco.bunny.net checkroi.ru A +noall +answer +comments
;; flags: qr aa; QUERY: 1, ANSWER: 1, AUTHORITY: 0, ADDITIONAL: 1
; EDNS: version: 0, flags:; udp: 1232
checkroi.ru.        1800    IN  A   5.253.61.149

Флаг aa (authoritative answer) подтверждает, что ответ пришёл из самой зоны. TTL здесь полный, 1800 секунд, без убывания. Флага ra нет: авторитативный сервер не ищет чужие имена за клиента. А в строке EDNS этот сервер объявил, что принимает UDP-ответы до 1232 байт.

Так проверяют изменения сразу после правки записи. Если авторитативный сервер уже отдаёт новый адрес, а резолвер старый, ошибки нет, ждите TTL.

Обратный запрос для адреса нашего сервера вернул NXDOMAIN: у этого IP нет PTR-записи. Для сайта это нормально. Почтовому серверу PTR нужен: по нему получатели проверяют, кто прислал письмо.

Какой DNS-сервер выбрать

По умолчанию компьютер получает резолвер от роутера, а роутер от провайдера. Резолвер можно сменить в настройках сети или роутера, и тогда запросы пойдут к нему.

Смена резолвера влияет только на поиск адреса. Скорость загрузки самой страницы и задержку соединения она не меняет: если сайт открывается медленно, начните с проверки пинга.

CheckroiПодборка курсов по администрированию и DevOps106 курсов • 26 школСравните цены, школы, программу и найдите выгодные предложения по обучениюСравнить→

Безопасность DNS: атаки и защита

Классический DNS проектировали без защиты: вопрос и ответ идут открытым текстом, и подлинность ответа не проверяется. Отсюда три главные угрозы.

• Отравление кэша. Злоумышленник подсовывает резолверу поддельный ответ, и пользователи попадают на чужой сервер. Схему подробно разбирали в статье о спуфинге.
• DDoS на DNS. Если авторитативные серверы домена лежат, сайт недоступен, даже когда веб-сервер работает. Открытые резолверы к тому же используют для усиления атак на других. Как устроены такие атаки, мы писали в материале про DDoS-атаки.
• Подглядывание. По открытым DNS-запросам видно, на какие сайты вы ходите, даже если сами сайты открываются по HTTPS.

От разных угроз защищают разные механизмы, и их часто путают:

Поэтому механизмы дополняют друг друга. DNSSEC включает владелец домена у регистратора и DNS-хостинга, DoT или DoH включает пользователь в настройках системы, роутера или браузера.

Частые ошибки и что с ними делать

• Сайт не открывается по имени, а по IP открывается. Проблема в разрешении имён, а не в сервере сайта. Проверьте nslookup имя 77.88.8.8: если с другим резолвером ответ есть, виноват ваш резолвер или его кэш.
• Сменили IP-адрес, а у части людей открывается старый сервер. Это кэш с остатком TTL. Держите старый сервер включённым, пока не истечёт прежний TTL, а в следующий раз снижайте его заранее.
• Добавили CNAME на корень домена, и перестала ходить почта. Рядом с CNAME других записей быть не должно, об этом правиле мы писали в разделе о типах записей. На корне используйте A и AAAA, CNAME оставьте поддоменам.
• Письма уходят в спам или не доходят. Проверьте MX и TXT с SPF командой dig домен MX и dig домен TXT: в SPF должны быть все адреса, с которых вы реально отправляете почту.
• Новый поддомен не находится, хотя запись уже создана. Сработал отрицательный кэш. Очистите кэш системы и подождите меньшее из двух чисел: TTL записи SOA зоны и её последнее поле.
• Сайт лежит у всех сразу, хотя сервер жив. Посмотрите dig +trace: если цепочка обрывается на NS вашего домена, недоступен DNS-хостинг. Помогают вторичные NS у другого провайдера.

Где освоить сети и DNS системно

Чтобы разобраться, почему сайт не открывается, хватит этой статьи и двух команд. А настраивать зоны, резолверы и сети компании приходится системному администратору или сетевому инженеру, и DNS у них только одна тема из многих: рядом маршрутизация, Linux, почта, мониторинг.

Если хочется перейти от отдельных команд к профессии, посмотрите курсы по сетевому администрированию или подборку программ для будущих сисадминов ниже.

Курс	Школа	Стоимость со скидкой	В рассрочку	Длитель­ность	Обзор курса от Checkroi
Профессия «Системный администратор» Перейти на сайт курса	Нетология	73 300 ₽	5125 ₽/мес.	11 месяцев	Обзор курса
Системный администратор Перейти на сайт курса	GeekBrains	99 500 ₽	2764 ₽/мес.	7 месяцев	Обзор курса
Системный администратор (Бакалавриат) Перейти на сайт курса	Университет Синергия	73 333 ₽	-	3 года	Обзор курса
Онлайн-курс Системный администратор Перейти на сайт курса	Бруноям	65 900 ₽	5491 ₽/мес.	6 месяцев	Обзор курса
Системный администратор + ИИ Перейти на сайт курса	ИПК	30 450 ₽	3171 ₽/мес.	260 часов	Обзор курса

• 

  Профессия «Системный администратор»

  Нетология73 300 ₽5125 ₽/мес11 месяцев
  Перейти на сайт курсаОбзор
• 

  Системный администратор

  GeekBrains99 500 ₽2764 ₽/мес7 месяцев
  Перейти на сайт курсаОбзор
• 

  Системный администратор (Бакалавриат)

  Университет Синергия73 333 ₽3 года
  Перейти на сайт курсаОбзор
• 

  Онлайн-курс Системный администратор

  Бруноям65 900 ₽5491 ₽/мес6 месяцев
  Перейти на сайт курсаОбзор
• 

  Системный администратор + ИИ

  ИПК30 450 ₽3171 ₽/мес260 часов
  Перейти на сайт курсаОбзор

Больше программ — в полном каталоге курсов для системных администраторов