Как работает DNS-сервер простыми словами: путь запроса от браузера до сайта
DNS-сервер переводит адрес сайта в IP-адрес за несколько шагов и запоминает ответ в кеше — разбираем, кто и в каком порядке отвечает на запрос.
DNS-сервер работает как справочная служба: вы называете имя сайта, а он возвращает числовой адрес сервера, на котором сайт лежит. Если нужного ответа у него нет, он сам обходит цепочку других серверов, запоминает результат и отдаёт его вам. Что такое DNS в целом, мы разбирали в опорной статье про DNS простыми словами, а здесь посмотрим, что происходит внутри одного запроса.
Кто участвует в запросе
В обычном запросе работают четыре роли. Они не обязательно стоят на отдельных машинах, но логически это разные задачи.
| Участник | Что делает | Простая аналогия |
|---|---|---|
| Резолвер (рекурсивный сервер) | Принимает ваш запрос и доводит его до ответа | Секретарь, который сам обзванивает всех |
| Корневой сервер | Подсказывает, кто отвечает за зону .com, .org и другие | Указатель в холле: «вам на третий этаж» |
| Сервер зоны (TLD) | Знает, где хранятся записи конкретного домена | Администратор этажа |
| Авторитетный сервер домена | Хранит настоящие записи и отдаёт итоговый IP | Тот, у кого лежит нужная бумага |
Резолвером обычно служит сервер вашего провайдера, но его можно заменить на публичный — как выбрать, мы разберём отдельно.
Путь запроса по шагам
Допустим, вы открываете example.com впервые за день.
- Браузер смотрит в свой кеш. Если вы заходили на сайт недавно, адрес уже известен, и сеть не нужна вовсе.
- Операционная система проверяет свой кеш и файл hosts. Это второй рубеж, до внешних серверов дело пока не дошло.
- Запрос уходит резолверу. Он тоже сначала смотрит в собственный кеш: на популярные сайты у него ответ почти всегда есть, потому что до вас их уже спрашивали тысячи людей.
- Резолвер идёт к корневому серверу. Корневой сервер не знает адрес сайта, но говорит, какие серверы отвечают за зону
.com. - Резолвер спрашивает сервер зоны. Тот отвечает, какие серверы хранят записи именно для
example.com. - Резолвер спрашивает авторитетный сервер домена. Только он выдаёт итоговый IP-адрес.
- Ответ возвращается к вам и сохраняется в кеше на резолвере, в системе и в браузере.
Корневых серверов формально 13 имён — от A до M, но за каждым стоят сотни физических машин по всему миру, которые отвечают с ближайшей точки. Поэтому корневой уровень не превращается в узкое место.
Что DNS-сервер хранит о сайте
DNS отдаёт не только IP-адрес. У домена есть набор записей разных типов, и по ним видно, как устроен сервис.
Самые частые записи: A и AAAA (адрес сайта по IPv4 и IPv6), CNAME (псевдоним), MX (почтовые серверы), TXT (служебные метки вроде подтверждения владения доменом). Именно поэтому при ошибке в MX-записи сайт открывается нормально, а почта на домен не приходит — это разные записи в одной зоне.
Кеш и TTL: почему второй запрос быстрее первого
У каждой записи есть TTL — время жизни в секундах. Пока оно не истекло, резолвер отвечает из памяти и не ходит по цепочке. Типичные значения лежат в диапазоне от пяти минут до суток.
У этого есть обратная сторона. Когда владелец сайта переносит его на другой хостинг и меняет IP, часть пользователей ещё какое-то время попадает на старый адрес — их резолверы держат прежнюю запись до конца TTL. Администраторы заранее снижают TTL перед переездом именно ради этого.
Как увидеть DNS-ответ своими глазами
Не нужно ничего устанавливать: утилита nslookup есть в Windows, macOS и Linux.
```
nslookup example.com
```
В ответе будет два блока. Верхний показывает, какой сервер вам ответил — это ваш резолвер. Нижний — найденный IP-адрес. Если запустить команду второй раз, ответ придёт заметно быстрее и с пометкой «неавторитетный ответ»: это значит, что он взят из кеша, а не от сервера домена.
Для более подробной картины на macOS и Linux есть dig example.com — он дополнительно показывает оставшееся время TTL и время выполнения запроса в миллисекундах.
Что DNS-сервер знает о вас
Резолвер видит, какие домены вы запрашиваете, и по умолчанию делает это в открытом виде: классический DNS не шифруется. Содержимое страниц он не видит, но список посещаемых сайтов — да. Для защиты есть DNS-over-HTTPS (DoH) и DNS-over-TLS (DoT): они шифруют сам запрос, так что в чужой сети, например в публичном Wi-Fi, его труднее прочитать или подменить.
Есть и обратная ситуация: защищённое соединение включено, а запросы всё равно уходят к серверу провайдера. Как это проверить, описано в материале про утечки IP и DNS.
Краткая памятка
- DNS-сервер возвращает IP-адрес по имени сайта и запоминает ответ.
- Цепочка корень → зона → домен нужна только тогда, когда ответа нет в кеше.
- Повторные запросы быстрее благодаря кешу, а TTL определяет, как долго запись считается свежей.
- Классический DNS не шифруется — DoH и DoT закрывают этот пробел.
- Проверить, кто на самом деле отвечает на ваши запросы, можно командой
nslookup.
Условия и периоды подписки для защищённого соединения на всех устройствах собраны на странице тарифов.