نظام أسماء النطاقات DNSDomain Name System DNS طريقة التخزين المؤقت في DNS وTTL، ومفهوم نظام أسماء النطاقات DNS، وأهمية وفوائد نظام DNS

عرفنا في الدرس السابق أن البشر يفضّلون التعامل مع أسماء النطاقات النصية سهلة الحفظ مثل www.google.com أو closetag.com، بينما لا تفهم موجهات الشبكة والخوادم سوى عناوين بروتوكول الإنترنت الرقمية (IP Addresses‏) مثل 172.217.19.142 (IPv4‏) أو 2a00:1450:4001:829::200e (IPv6‏). وهنا يأتي دور نظام أسماء النطاقات (Domain Name System — DNS‏)؛ فهو قاعدة البيانات العالمية الموزعة والبروتوكول المسؤول عن ترجمة الأسماء النصية إلى عناوين IP رقمية خلال أجزاء من الثانية.

يعمل نظام DNS تماماً مثل تطبيق جهات الاتصال (دليل الهاتف) العالمي للإنترنت: فعندما تضغط على اسم صديقك في هاتفك المحمول، يبحث الهاتف تلقائياً عن رقم الهاتف المرتبط بالاسم ويتصل به دون أن تضطر لحفظ الأرقام. بالطريقة نفسها، بمجرد كتابة اسم النطاق في شريط المتصفح، يستعلم جهازك من نظام DNS ليحصل على عنوان IP الخاص بالخادم المضيف ويبدأ الاتصال الفوري به.

لماذا لم يكتفِ مهندسو الإنترنت بملف أسماء واحد على كل جهاز أو بكتابة عناوين IP مباشرة داخل التطبيقات؟ يوفّر تصميم DNS الهرمي الموزع أربع فوائد هندسية جوهرية لا غنى عنها لعمل الإنترنت الحديث:

• سهولة الاستخدام البشري: يتيح للمستخدمين تذكر أسماء نصية واضحة مثل closetag.com بدلاً من حفظ سلاسل رقمية معقدة في IPv4 أو IPv6.
• المرونة وسلاسة نقل الخوادم: يستطيع مهندس الشبكات نقل الموقع بالكامل إلى شركة استضافة جديدة بعنوان IP مختلف تماماً، ثم تحديث الرقم داخل سجل DNS فقط دون أن يشعر الزوار بأي تغيير في عنوان الموقع.
• توزيع عبء العمل والاعتمادية العالية: تمتلك المنصات الكبرى مثل جوجل مئات الخوادم بعناوين IP متعددة؛ وتتيح خدمات DNS المتقدمة إرجاع عناوين مختلفة لتوزيع الحمل (Load Distribution‏) وتوجيه كل زائر إلى أقرب مركز بيانات جغرافي يعمل بكفاءة.
• القابلية للتوسع العالمي دون نقطة فشل مركزية: بدلاً من وجود خادم واحد يتوقف معه الإنترنت عالمياً إذا تعطل، يوزّع DNS المسؤولية هرمياً على آلاف الخوادم المستقلة حول العالم.

عندما يحتاج حاسوبك إلى معرفة عنوان IP لاسم نطاق غير محفوظ في ذاكرته المحلية، فإنه لا يتصل بخوادم الإنترنت العليا مباشرةً؛ بل يرسل عميل النظام الخفيف المدمج في جهازك — ويُسمى المحلل المحلي البسيط (Stub Resolver) — طلباً واحداً إلى خادم وسيط يُعرف باسم مفسر أو محلل DNS المتكرر (Recursive DNS Resolver).

يعمل المحلل المتكرر كوكيل بحث ذكي ينوب عن جهازك: إذ يستقبل سؤالك ويتكفل هو بالقيام برحلة التتبع الكاملة عبر خوادم الإنترنت خطوةً بخطوة حتى يعثر على عنوان IP النهائي ويعيده إلى متصفحك جاهزاً. وإذا كان مستخدم آخر قد طلب الموقع نفسه قبل قليل، فإن المحلل المتكرر يجيبك فوراً من ذاكرته المؤقتة (Cache‏) خلال بضعة أجزاء من الألف من الثانية دون الحاجة لإعادة البحث من الصفر.

يحصل جهازك افتراضياً (عبر بروتوكول DHCP من الراوتر) على عنوان المحلل المتكرر التابع لمزود خدمة الإنترنت (ISP‏)، كما يمكنك تغييره يدوياً في إعدادات الشبكة لاستخدام محللات عامة سريعة مثل Cloudflare (1.1.1.1‏) أو Google Public DNS (8.8.8.8‏) أو Quad9 (9.9.9.9‏).

إذا لم يجد المحلل المتكرر (Recursive Resolver‏) عنوان الموقع في ذاكرته المؤقتة، فإنه يبدأ رحلة البحث من قمة الشجرة العالمية مروراً بطبقتين أساسيتين من خوادم الإحالة والتوجيه:

• 1. خوادم الجذر الأساسية (Root Name Servers — .‏): تمثّل القمة العليا لشجرة DNS بإشراف هيئة IANA، وهي المحطة الأولى دائماً عند غياب الكاش. تتكون عالمياً من 13 مجموعة منطقية تحمل الحروف من A إلى M (a.root-servers.net حتى m.root-servers.net‏). لا تحفظ خوادم الجذر عناوين جميع مواقع العالم، بل تنظر إلى الامتداد الأخير فقط (مثل .com أو .eg‏) وتوجّه المحلل إلى خوادم النطاق الأعلى المختصة بهذا الامتداد.
• 2. خوادم أسماء النطاقات العليا ‏: تديرها سجلات الامتدادات العالمية والوطنية (مثل شركة Verisign لنطاقَي .com و.net، أو الجهاز القومي لتنظيم الاتصالات لنطاق .eg‏). تحتفظ هذه الخوادم بقائمة خوادم الأسماء لكل نطاق مسجّل تحت امتدادها؛ فعند سؤال خادم .com عن closetag.com، يردّ بإحالة المحلل إلى الخادم النهائي المختص بهذا الموقع تحديداً.

تأمل المخطط المعماري الآتي الذي يلخص الأدوار الأربعة الكبرى لخوادم منظومة DNS:

يمثّل خادم الأسماء المعتمد أو المختص (Authoritative Name Server) المحطة النهائية وصاحب الحقيقة الرسمية القطعية لسجلات نطاق معين. فعلى عكس المحلل المتكرر (الذي يبحث بالنيابة عن المستخدم) أو خوادم الجذر والامتدادات العليا (التي تكتفي بالإحالة والتوجيه)، يحتفظ الخادم المعتمد بالملف الرسمي لسجلات النطاق المعروف باسم ملف المنطقة (DNS Zone File).

عندما يشتري مالك الموقع نطاقاً مثل closetag.com ويضبط عناوين خوادمه داخل لوحة تحكم النطاق، فإن هذه الإعدادات تُحفظ داخل خوادم الأسماء المعتمدة الخاصة به (مثل ns1.closetag.com وns2.closetag.com‏). وبمجرد وصول المحلل المتكرر إلى هذا الخادم المعتمد، يردّ عليه بالإجابة النهائية الموثوقة (مع تفعيل راية الإجابة المعتمدة AA — Authoritative Answer‏) معيداً عنوان IP الفعلي لخادم الويب.

دعنا نتتبع الرحلة الكاملة التي تحدث خلال أجزاء من الثانية عند كتابة www.closetag.com في المتصفح لأول مرة، مع الانتباه للفرق الجوهري بين الاستعلام التكراري (Recursive Query) والاستعلام التتابعي (Iterative Query):

1. الفحص المحلي أولاً (كاش المتصفح والنظام وملف hosts‏): قبل إرسال أي طلب عبر الشبكة، يفحص المتصفح ذاكرته المؤقتة، ثم يسأل نظام التشغيل الذي يفحص كاش النظام وملف الأسماء المحلي hosts (/etc/hosts في لينكس وماك أو C:\Windows\System32\drivers\etc\hosts في ويندوز).
2. الاستعلام التكراري (من جهازك إلى المحلل المتكرر): عند عدم وجود الإجابة محلياً، يرسل جهازك استعلاماً تكرارياً (Recursive Query) إلى المحلل المتكرر (مثل 1.1.1.1‏) مطالباً إياه بالعودة بالعنوان النهائي.
3. الاستعلام التتابعي الأول (من المحلل إلى خادم الجذر): يرسل المحلل استعلاماً تتابعياً (Iterative Query) إلى خادم الجذر (.‏)، فيحيله إلى خوادم امتداد .com.
4. الاستعلام التتابعي الثاني (من المحلل إلى خادم TLD‏): يسأل المحلل خادم .com فيحيله إلى خادم الأسماء المعتمد للنطاق (ns1.closetag.com‏).
5. الاستعلام التتابعي الثالث (من المحلل إلى الخادم المعتمد): يسأل المحلل الخادم المعتمد فيردّ عليه بعنوان IP النهائي للموقع (93.184.216.34‏).
6. التخزين المؤقت وبدء الاتصال: يحفظ المحلل العنوان في ذاكرته المؤقتة ويعيده إلى المتصفح، فيبدأ المتصفح الاتصال الفوري بخادم الويب لعرض الصفحة.

تأمل مخطط تدفق الاستعلام الآتي، ثم تفاعل مع محاكي رحلة DNS لتجربة كل مرحلة خطوة بخطوة:

لا تقتصر قاعدة بيانات خادم DNS المعتمد على حفظ عناوين الجيل الرابع فقط، بل تُخزّن تعليمات منظمة تُسمى سجلات الموارد (Resource Records — RRs‏). يحتاج كل مطور ويب ومهندس شبكات ومختص أمن سيبراني إلى إتقان السجلات القياسية الآتية:

• سجل A (Address — عنوان الجيل الرابع): يربط اسم النطاق أو النطاق الفرعي مباشرةً بعنوان IPv4 رقمي من 32 بت (مثل ربط closetag.com بالعنوان 93.184.216.34‏).
• سجل AAAA (Quad-A — عنوان الجيل السادس): يربط اسم النطاق بعنوان IPv6 حديث من 128 بت (وسُمّي بأربعة حروف A لأن طول العنوان أربعة أضعاف الجيل الرابع).
• سجل CNAME (Canonical Name — الاسم البديل): يوجّه نطاقاً فرعياً ليكون اسماً مستعاراً يتبع نطاقاً آخر بدلاً من كتابة رقم IP (مثل توجيه www.closetag.com إلى closetag.com‏).
• سجل MX (Mail Exchange — تبادل البريد): يحدد الخوادم المسؤولة عن استقبال رسائل البريد الإلكتروني الخاصة بالنطاق مع تحديد رقم الأولوية لكل خادم.
• سجل TXT (Text — السجل النصي): يحفظ قيماً نصية تُستخدم لإثبات ملكية النطاق وتأمين البريد الإلكتروني ضد الانتحال عبر معايير SPF وDKIM وDMARC.
• سجل NS وسجل PTR: يحدد سجل NS خوادم الأسماء المعتمدة للنطاق، بينما يُستخدم سجل PTR في البحث العكسي لترجمة رقم IP إلى اسم نطاق.

تخيّل لو أن متصفحك يضطر لمراسلة خوادم الجذر والامتداد والخادم المعتمد مع كل صورة أو ملف تنسيق أو رابط تضغط عليه داخل الموقع الواحد؛ لأصبح التصفح بطيئاً للغاية ولازدحمت خوادم الإنترنت العالمية! لمنع ذلك، يعتمد النظام على التخزين المؤقت لنتائج DNS (DNS Caching‏) عبر عدة طبقات متتالية: في ذاكرة المتصفح، ثم ذاكرة نظام التشغيل، ثم الموجه المنزلي (الراوتر)، ثم المحلل المتكرر لمزود الخدمة.

يُرفق الخادم المعتمد مع كل سجل DNS عداداً زمنياً بالثواني يُسمى مدة الصلاحية أو البقاء (Time to Live — TTL‏)، مثل 3600 ثانية (ساعة واحدة) أو 300 ثانية (خمس دقائق). وطالما لم تنتهِ مدة TTL، يستخدم جهازك والمحلل العنوان المحفوظ في الكاش فوراً دون إعادة السؤال؛ وعندما ينقضي الوقت يُحذف السجل القديم ويُطلب تحديث جديد. ويفسر هذا أيضاً لماذا يستغرق تعديل عنوان IP لموقعك بعض الوقت ليظهر لجميع المستخدمين حول العالم — وهو ما يُعرف بظاهرة انتشار تحديثات DNS (DNS Propagation‏) — ريثما تنتهي مدة TTL للسجلات القديمة المخزنة في كاش مزودي الخدمة.

عندما صُمّم بروتوكول DNS عام 1983، كانت الاستعلامات تُرسل كنص مكشوف غير مشفر وبدون توقيع رقمي يثبت مصدرها. وفي بيئة الأمن السيبراني الحديثة، يستهدف المهاجمون هذا الضعف التاريخي، وتصدّهم الشبكات الحديثة عبر طبقتَي حماية متكاملتين:

• التهديد الأمني — انتحال وتسميم الكاش (DNS Spoofing & Cache Poisoning): يحاول المهاجم تزوير ردّ DNS وحقن عنوان IP خبيث داخل الذاكرة المؤقتة للمحلل أو الشبكة المحلية، بحيث عندما يكتب الضحية اسم موقع سليم في المتصفح يتوجه دون علمه إلى خادم مزيف للتصيّد وسرقة البيانات.
• الحماية الأولى — التوقيع الرقمي وموثوقية السجلات عبر DNSSEC: تضيف امتدادات أمان نظام أسماء النطاقات (DNSSEC‏) توقيعاً رقمياً مشفراً لكل سجل داخل ملف المنطقة، مما يمكّن المحلل التكراري من التحقق رياضياً من أن عنوان IP المستلم صادر فعلاً عن الخادم المعتمد الأصلي ولم يتعرض للتلاعب في الطريق.
• الحماية الثانية — تشفير القناة والخصوصية عبر DoH وDoT: لأن DNSSEC يثبت صحة السجل لكنه لا يخفي اسم الموقع الذي تبحث عنه عن المتنصتين في شبكات الواي فاي العامة، تعتمد المتصفحات وأنظمة التشغيل الحديثة تشفير استعلامات DNS بالكامل عبر بروتوكول DNS فوق HTTPS (DoH على المنفذ 443‏) أو DNS فوق TLS (DoT على المنفذ 853‏).