1. La mission et l’architecture hiérarchique du DNS

Le protocole DNS (Domain Name System – RFC 1034 / 1035) constitue le grand carnet d’adresses mondial d’Internet. Les humains mémorisent aisément des noms alphabétiques évocateurs (ex. ecole-informatique.ch), tandis que les routeurs ne traitent que des adresses numériques binaires (ex. 185.19.29.42). Le DNS assure la traduction bidirectionnelle instantanée de ces identifiants.

L’espace de noms DNS est structuré sous la forme d’un arbre inversé hautement hiérarchisé :

• La racine (Root Zone – représentée par un point final .) : Administrée mondialement au travers de 13 groupes de serveurs racines de noms (Root Servers, lettres A à M) répliqués par Anycast sur des milliers de serveurs physiques.
• Domaines de premier niveau (TLD – Top-Level Domains) :
  • ccTLD (Country Code TLD) : Codes pays souverains (ex. .ch géré par le registre officiel suisse Switch, .fr, .de).
  • gTLD (Generic TLD) : Extensions génériques (ex. .com, .org, .net, .swiss).
• Domaines de second niveau : Noms réservés par les organisations (ex. ecole-informatique sous .ch).
• Sous-domaines : Découpages internes gérés librement par le propriétaire (ex. moodle.ecole-informatique.ch, vpn.ecole-informatique.ch).

2. Les principaux types d’enregistrements DNS (Resource Records – RR)

Une zone DNS se compose d’une collection d’enregistrements typés :

• A : Associe un nom d’hôte à une adresse IPv4 (32 bits).
• AAAA : Associe un nom d’hôte à une adresse IPv6 (128 bits).
• CNAME (Canonical Name) : Alias redirigeant un nom d’hôte vers un autre nom d’hôte (ex. www.site.ch pointant vers site.ch).
• MX (Mail Exchanger) : Désigne les serveurs de messagerie prioritaires autorisés à recevoir les courriels pour le domaine.
• TXT : Enregistrement textuel polyvalent, aujourd’hui massivement utilisé pour la sécurité des courriels (politiques SPF, clés publiques DKIM, DMARC) et la validation de propriété de domaines.
• PTR (Pointer) : Enregistrement inverse associant une adresse IP à son nom canonique (Reverse DNS).
• SOA (Start of Authority) : Contient les paramètres d’autorité de la zone (serveur primaire, courriel du responsable, numéro de série pour la réplication vers les serveurs secondaires).

3. Résolution récursive vs itérative et sécurisation avec DNSSEC

Lorsqu’un client interroge son résolveur local (ex. résolveur de son FAI ou 1.1.1.1 / 9.9.9.9) :

1. La requête du client au résolveur est dite récursive (« trouve-moi la réponse complète »).
2. Le résolveur effectue ensuite une suite de requêtes itératives : il interroge d’abord un serveur racine, qui le renvoie vers les serveurs du TLD .ch, qui le renvoient vers le serveur de noms autoritaire du domaine ecole-informatique.ch, qui fournit la réponse finale.

Le DNS historique transmettant les requêtes en clair via UDP sur le port 53 sans authentification, il est vulnérable aux attaques par empoisonnement de cache (DNS Cache Poisoning). L’extension DNSSEC signe cryptographiquement chaque enregistrement par une chaîne de confiance certifiée depuis la racine, garantissant formellement l’authenticité et l’intégrité de la réponse reçue.

Laboratoire CLI : Utilisez l’outil dig ecole-informatique.ch +trace pour suivre visuellement et étape par étape chaque palier de la résolution récursive depuis les serveurs racines mondiaux jusqu’aux serveurs DNS autoritaires suisses.