| VyÜlo v t²denφku: | COMPUTERWORLD |
| ╚φslo: | 11/95 |
| RoΦnφk: | 1995 |
| Rubrika/kategorie: | TΘma t²dne, ╚lßnky o Internetu |
Tento Φlßnek vyÜel v poΦφtaΦov²ch novinßch Computerworld Φ. 11/95, v rßmci tzv. tΘmatu t²dne, jako souΦßst sΘrie Φlßnk∙ v∞novan²ch problematice Internetu.
Jednou z v²razn²ch nev²hod IP adres je jejich Φφseln² charakter. Ten je "Üit na mφru" pot°ebßm program∙, ale pro Φlov∞ka je tento Φφseln² tvar mßlo mnemonick². Schvßln∞, komu by se cht∞lo pamatovat n∞co jako 193.84.252.190, 194.50.17.139 apod.? LidΘ si mnohem snßze pamatujφ symbolickΘ zßpisy typu frode.dcit.cz nebo kki.ms.mff.cuni.cz.
DalÜφ v²raznou nev²hodou Φφseln²ch IP adres je skuteΦnost, ₧e ne°φkajφ v∙bec nic ani o fyzickΘm umφst∞nφ danΘho uzlu Φi sφt∞, ani o jeho p°φpadnΘm zaΦlen∞nφ do urΦitΘ organizaΦnφ Φi jinΘ hierarchie. Poznßte, kde se nachßzφ poΦφtaΦ s IP adresou 194.50.17.139? V Evrop∞, n∞kde v Americe, Φi jeÜt∞ jinde? A komu vlastn∞ pat°φ, jakΘ organizaci, instituci Φi firm∞? IP adresa vßm v tomto ohledu ne°ekne nic. Symbolick² zßpis typu kki.ms.mff.cuni.cz u₧ m∙₧e b²t sdφln∞jÜφ - alespo≥ pro toho, kdo znß pravidla jeho tvorby. TakovΘmuto Φlov∞ku ji₧ m∙₧e napov∞d∞t, ₧e dan² poΦφtaΦ by m∞l b²t v ╚eskΘ republice (podle Φßsti "cz"), na pra₧skΘ Karlov∞ univerzit∞ (dle "cuni"), na jejφ Matematicko-fyzikßlnφ fakult∞ ("mff"), v budov∞ na MalostranskΘm nßm∞stφ ("ms"), a jmenuje se KKI (po dnes ji₧ neexistujφcφ kated°e). Pravidla pro tvorbu v²Üe uveden²ch symbolick²ch adres, kterß se dnes pou₧φvajφ v rßmci Internetu, v∙bec nezaruΦujφ n∞co takovΘho, jako v nßmi pou₧itΘm p°φkladu - sledujφ pon∞kud jin² cφl, ne₧ vypovφdat o skuteΦnΘm umφst∞nφ Φi zaΦlen∞nφ konkrΘtnφho uzlu do organizaΦnφ Φi geografickΘ hierarchie. Proto mohou, ale takΘ nemusφ vypovφdat vφce, ne₧ Φist∞ ΦφselnΘ IP adresy. V ka₧dΘm p°φpad∞ ale jde o adresy symbolickΘho charakteru, kterΘ jsou pro Φlov∞ka mnohem srozumiteln∞jÜφ a snßze zapamatovatelnΘ, ne₧ Φist∞ ΦφselnΘ IP adresy. A to je hlavnφ d∙vod, proΦ se na ·rovni vyÜÜφch vrstev pou₧φvajφ takovΘto symbolickΘ adresy.
Zastavme se nynφ podrobn∞ji u techniky p°id∞lovßnφ symbolick²ch jmen uzlov²m poΦφtaΦ∙m. Zßkladnφm po₧adavkem zde z°ejm∞ bude to, aby i symbolickß jmΘna byla stejn∞ jednoznaΦnß (v p°φpad∞ Internetu celosv∞tov∞), jako jsou jednoznaΦnΘ IP adresy. Tomuto po₧adavku by p°itom bylo mo₧nΘ snadno vyhov∞t, kdyby existovala jednoznaΦnß korespondence mezi symbolick²mi adresami a Φφseln²mi IP adresami. Pak by bylo mo₧nΘ vymyslet a implementovat mechanismus, kter² by dokßzal jednotlivΘ druhy adres mezi sebou na po₧ßdßnφ p°evßd∞t.
Takov²to mechanismus dnes existuje, a to dokonce s globßlnφ p∙sobnostφ, pro cel² Internet. Jmenuje se DNS, co₧ je zkratkou od anglickΘho Domain Name System (doslova: systΘm domΘnov²ch jmen). Jak jsme si ji₧ uvedli v prvnφm tΘmatu t²dne o Internetu (v CW 4/95), jeho poΦßtky se datujφ do roku 1984, kdy vznikl prßv∞ z pot°eby p°evßd∞nφ symbolick²ch adres na adresy ΦφselnΘ a obrßcen∞. Pozd∞ji se ale zjistilo, ₧e systΘm DNS se velmi dob°e hodφ i k dalÜφm ·Φel∙m - nap°φklad k tomu, aby specifikoval, kam a jak²m zp∙sobem mß b²t doruΦovßna elektronickß poÜta pro urΦit² poÜtovnφ uzel apod.
Primßrnφ funkcφ systΘmu DNS je ale stßle p°evod mezi ob∞ma druhy adres. Tomu, aby takov²to p°evod byl v∙bec v principu mo₧n², vÜak muselo p°edchßzet stanovenφ urΦit²ch pravidel pro tvorbu symbolick²ch adres. P°edevÜφm bylo nutnΘ zabrßnit tomu, aby dochßzelo ke globßlnφm kolizφm p°i p°id∞lovßnφ symbolick²ch adres - tedy k situacφm takovΘho typu, kdy jeden u₧ivatel dß svΘmu poΦφtaΦi urΦitΘ konkrΘtnφ symbolickΘ jmΘno (nap°. ALPHA), a tφm zabrßnφ komukoli dalÜφmu, aby svΘmu poΦφtaΦi dal stejnΘ jmΘno, resp. symbolickou adresu. K tomu by dochßzelo v p°φpad∞, kdyby symbolickΘ adresy byly jednoslo₧kovΘ, tj. tvo°enΘ jedin²m symbolick²m jmΘnem. Jednoslo₧kovΘ symbolickΘ adresy by mohly b²t ·nosnΘ v p°φpad∞, ₧e by se poΦty uzl∙ pohybovaly v desφtkßch Φi stovkßch, ale jsou zcela nepou₧itelnΘ p°i milionech uzl∙ Internetu.
╪eÜenφ se naÜlo v pou₧itφ vφceslo₧kov²ch symbolick²ch adres, neboli takov²ch adres, kterΘ jsou slo₧eny z vφce jednotliv²ch Φßstφ. Pokud se mezi t∞mito slo₧kami zavedou vhodnΘ vztahy, je mo₧nΘ se ·Φinn∞ vypo°ßdat s nebezpeΦφm kolizφ symbolick²ch jmen. DalÜφm efektem, kterΘho lze tφmto zp∙sobem dosßhnout, je minimalizace nutnΘ koordinace mezi subjekty, kterΘ symbolickΘ adresy p°id∞lujφ. P°i souΦasn²ch rozm∞rech Internetu by bylo zcela nemyslitelnΘ, kdyby se p°i zavßd∞nφ novΘho symbolickΘho jmΘna resp. adresy muselo zφskßvat souhlasnΘ stanovisko jin²ch subjekt∙, kterΘ takΘ p°id∞lujφ symbolickΘ adresy.
KonkrΘtnφ °eÜenφ, p°ijatΘ pro pot°eby systΘmu DNS, spoΦφvß v rozd∞lenφ symbolick²ch adres na slo₧ky, kterΘ odpovφdajφ tzv. domΘnßm. Pod pojmem "domΘna" je nejlΘpe si p°edstavit organizaΦnφ subjekt, oprßvn∞n² p°id∞lovat novß symbolickß jmΘna v rßmci p°esn∞ definovanΘho okruhu svΘ p∙sobnosti - nap°φklad v rßmci ╚eskΘ republiky. Ka₧dß takovßto domΘna mß svΘ jmΘno (domΘna s p∙sobnostφ na celou ╚R mß jmΘno cz ), a krom∞ prßva p°id∞lovat symbolickß jmΘna konkrΘtnφm uzlov²m poΦφtaΦ∙m mß takΘ prßvo vytvß°et "dce°innΘ" subjekty a delegovat jim Φßst svΘ pravomoci - neboli prßvo vytvß°et tzv. subdomΘny, s u₧Üφm okruhem p∙sobnosti ne₧ mß jejich "mate°skß" domΘna. Nap°φklad v rßmci domΘny cz takto existujφ subdomΘny cuni a dcit (odpovφdajφcφ Karlov∞ univerzit∞ a firm∞ DCIT). Tyto subdomΘny pak majφ obdobnΘ prßvo vytvß°et svΘ vlastnφ subdomΘny, a delegovat jim Φßst svΘ pravomoci. Tak₧e nap°φklad domΘna cuni (Karlova univerzita) si vytvß°φ dalÜφ subdomΘny, odpovφdajφcφ jednotliv²ch fakultßm (nap°. domΘnu mff pro Matematicko-fyzikßlnφ fakultu, domΘnu ff pro Filosofickou fakultu atd.). Obecn∞ tak mohou vznikat celΘ hierarchicky uspo°ßdanΘ systΘmy domΘn a subdomΘn. Kdy₧ pak kterßkoli z t∞chto domΘn p°id∞lφ v okruhu svΘ p∙sobnosti (jednoslo₧kovΘ) symbolickΘ jmΘno urΦitΘmu poΦφtaΦi, vznikne z tohoto jmΘna symbolickß adresa (tzv. pln∞ kvalifikovanΘ domΘnovΘ jmΘno) tak, ₧e se k tomuto jmΘnu zprava postupn∞ p°ipojφ jmΘna danΘ domΘny a vÜech jejφch nad°φzen²ch domΘn. Uka₧me si to na p°φkladu: kdy₧ si ve firm∞ DCIT (vlastnφcφ domΘnu dcit.cz) koupφ nov² poΦφtaΦ, a dajφ mu jmΘno ALPHA, pak internetovß adresa tohoto poΦφtaΦe bude alpha.dcit.cz. Podobn∞ kdy₧ si na Matematicko-fyzikßlnφ fakult∞ (v budov∞ na MalostranskΘm nßm∞stφ, tj. v domΘn∞ ms.mff.cuni.cz) po°φdφ nov² poΦφtaΦ, mohou mu dßt stejnΘ jmΘno ALPHA, a s nφm pak adresu alpha.ms.mff.cuni.cz. Dφky zp∙sobu konstrukce symbolick²ch adres (resp. pln∞ kvalifikovan²ch domΘnov²ch jmen) p°itom nedochßzφ k ₧ßdnΘ kolizi, a ₧ßdnß z nßmi uva₧ovan²ch domΘn se nemusφ ohlφ₧et na to, jakß jmΘna p°id∞luje sv²m poΦφtaΦ∙m a sv²m subdomΘnßm jinß domΘna, na kterΘkoli ·rovni hierarchie domΘn.
SystΘm DNS neklade ₧ßdnß omezenφ na to, kolik mß existovat domΘn, resp. jak hlubokΘ majφ b²t ·rovn∞ jejich hierarchickΘho uspo°ßdßnφ. V tomto ohledu majφ konkrΘtnφ domΘny naprostou svobodu. SystΘm DNS dokonce nep°edepisuje ani to, zda domΘny majφ odpovφdat organizaΦnφmu, geografickΘmu Φi jeÜt∞ jinΘmu Φlen∞nφ. Proto nenφ stanoveno nap°φklad to, Φemu majφ odpovφdat domΘny nejvyÜÜφ ·rovn∞ - v dosud uvßd∞n²ch p°φkladech jsme p°edpoklßdali, ₧e odpovφdajφ spφÜe geografickΘmu Φlen∞nφ, a tedy ₧e ka₧d² stßt by m∞l mφt vlastnφ "nßrodnφ" domΘnu nejvyÜÜφ ·rovn∞. Takovß skuteΦn∞ je souΦasnß praxe p°i p°ipojovßnφ nov²ch zemφ a stßt∙ k Internetu.
V dob∞, kdy cel² systΘm DNS teprve vznikal, vÜak byla praxe pon∞kud jinß. Tehdy se z°ejm∞ moc nepoΦφtalo s tφm, ₧e by se Internet v²znamn∞ji rozÜφ°il i mimo USA. Proto prvnφ domΘny nejvyÜÜφ ·rovn∞, kterΘ kdy vznikly, odpovφdaly nikoli geografickΘmu uspo°ßdßnφ, ale spφÜe Φlen∞nφ organizaΦnφmu, navφc poplatnΘmu tehdejÜφmu spektru u₧ivatel∙ Internetu:
Jak jsme si ji₧ uvedli v²Üe, je systΘm DNS p°edevÜφm nßstrojem, resp. mechanismem, kter² mß zajiÜ¥ovat vzßjemn² p°evod mezi symbolick²mi domΘnov²mi adresami a Φφseln²mi IP adresami. NaznaΦme si nynφ princip, na jakΘm funguje p°evod symbolick²ch adres na ΦφselnΘ, kter² je zdaleka nejΦast∞jÜφ. Budeme se p°itom pohybovat na ·rovni zjednoduÜenΘ p°edstavy, vhodnΘ pro pochopenφ principu celΘho mechanismu. Na zßv∞r se pak zmφnφme o tom, ₧e praktickß implementace je pon∞kud odliÜnß, a je uzp∙sobenß po₧adavku, aby vÜe fungovalo dostateΦn∞ efektivn∞.
Zßkladnφ p°edstavou, ze kterΘ je vhodnΘ vyjφt, je p°edstava o existenci tzv. name serveru pro ka₧dou z existujφcφch domΘn. Pod pojmem "name server" je pak vhodnΘ chßpat p°edevÜφm subjekt, kter² znß vÜechny uzly, kter²m byla v rßmci danΘ domΘny p°id∞lena symbolickß jmΘna, a takΘ jφm odpovφdajφcφ ΦφselnΘ IP adresy. Name server (doslova: server jmen) je tedy autoritou, kterß je oprßvn∞na odpovφdat na dotazy typu "jakou IP adresu mß uzel frode.dcit.cz?". Ka₧d² ovÜem jen za svou domΘnu, pro kterou realizuje funkci name serveru - pokud je dotßzßn na Φφselnou adresu uzlu z jinΘ domΘny, musφ b²t schopen se obrßtit na jin² name server, kter² by mu m∞l b²t schopen pomoci.
Pro jednoduchost si lze p°edstavit, ₧e vÜechny name servery jsou uspo°ßdßny hierarchicky do stromu, kter² p°esn∞ kopφruje hierarchii jednotliv²ch domΘn. Ko°enem tohoto stromu pak je jedin² (ko°enov²) name server, kter² sice neodpovφdß p°φmo ₧ßdnΘ domΘn∞, ale zato znß vÜechny name servery domΘn nejvyÜÜφ ·rovn∞, a dokß₧e na n∞ poskytnout odkazy.
Nynφ ji₧ se m∙₧eme vrßtit k p°edstav∞ toho, jak se postupuje p°i konkrΘtnφm p°evodu symbolickΘ domΘnovΘ adresy na Φφselnou IP adresu. V souladu s obrßzkem p°edpoklßdejme, ₧e jde o dotaz na IP adresu uzlu frode.dcit.cz. Tazatel by se m∞l obrßtit nejprve na ko°enov² name server s dotazem na adresu name serveru domΘny cz. Na tento name server se pak obrßtφ s dotazem na adresu name serveru domΘny dcit.cz. Tφm se tazatel dostane a₧ k name serveru, kter² by ji₧ m∞l b²t zp∙sobil² zodpov∞d∞t mu jeho dotaz na IP adresu uzlu frode.dcit.cz.
Te∩ si ale tuto zjednoduÜenou p°edstavu pon∞kud upravme. Tφm, kdo se dotazuje, m∙₧e b²t kter²koli uzlov² poΦφtaΦ. Se sv²m dotazem se m∙₧e obrßtit v zßsad∞ na kter²koli name server, o jeho₧ existenci je informovßn (tj. kter² znß). Pokud je tento name server oprßvn∞n poskytnout odpov∞∩, uΦinφ tak. Pokud ne, bu∩to sßm zprost°edkuje kontakt s oprßvn∞n²mi name servery ve v²Üe naznaΦenΘm smyslu, nebo alespo≥ poskytne tazateli odkaz na jin² name server, na kter² se mß se sv²m dotazem obrßtit (zde zßle₧φ na konkrΘtnφ formulaci p∙vodnφho dotazu).
Pro praktickΘ fungovßnφ celΘho systΘmu by vÜak zcela jist∞ nebylo ·nosnΘ obracet se s ka₧d²m jednotliv²m dotazem v₧dy na ko°enov² name server, a pak postupn∞ na dalÜφ name servery, dokud se nedojde na takov² name server, kter² je kompetentnφ k zodpov∞zenφ p°φsluÜnΘho dotazu. Name servery proto fungujφ tak, ₧e si po urΦitou dobu pamatujφ odpov∞di na dotazy, kterΘ jim byly p°edlo₧eny - je toti₧ velmi pravd∞podobnΘ, ₧e je budou moci vyu₧φt pro zodpovφdßnφ dotaz∙, kterΘ jim budou p°edlo₧eny v blφzkΘ budoucnosti. Budou to sice jen tzv. neautoritativnφ odpov∞di, neboli odpov∞di od ne zcela kompetentnφho subjektu, ale pro drtivou v∞tÜinu situacφ pln∞ vyhovφ. Navφc i tazatel bude informovßn o p°φpadnΘ neautoritativnφ povaze odpov∞di, tak₧e se m∙₧e sßm rozhodnout, jestli se s nφ spokojφ, nebo zda si vynutφ odpov∞∩ autoritativnφ. Poskytovßnφ neautoritativnφch odpov∞dφ je ovÜem v²znamn²m prost°edkem pro zefektivn∞nφ celΘho p°evodnφho mechanismu, a rozumn²m kompromisem mezi maximßlnφ mo₧nou aktußlnostφ odpov∞dφ na jednΘ stran∞, a rychlostφ odezvy a re₧iφ p°evodu na stran∞ druhΘ.
DalÜφm aspektem, ve kterΘm se skuteΦnß implementace systΘmu DNS liÜφ od naÜφ zjednoduÜenΘ p°edstavy, je skuteΦnß hierarchie name server∙. A₧ dosud jsme p°edpoklßdali, ₧e p°esn∞ kopφruje hierarchii domΘn, a ₧e pro ka₧dou domΘnu existuje prßv∞ jeden name server. V praxi je ale po₧adovßno, aby pro ka₧dou domΘnu existovaly name servery nejmΘn∞ dva, jeden hlavnφ a jeden zßlo₧nφ. P°itom name server je p°edevÜφm funkce, kterou vykonßvß urΦit² konkrΘtnφ poΦφtaΦ, a je docela dob°e mo₧nΘ, aby jeden a tent²₧ poΦφtaΦ fungoval jako name server pro vφce r∙zn²ch domΘn. SkuteΦnß hierarchie name server∙ proto nemusφ p°esn∞ odpovφdat hierarchii domΘn. Ve skuteΦnosti je mnohem vφce "plochß", tak aby p°i zodpovφdßnφ konkrΘtnφch dotaz∙ bylo co nejmΘn∞ postupn²ch krok∙. TakΘ jedin² ko°enov² name server, kter² jsme si v naÜφ zjednoduÜenΘ p°edstav∞ zavedli, ve skuteΦnosti neexistuje. Jeho roli plnφ hned n∞kolik ko°enov²ch name server∙, kterΘ jsou vzßjemn∞ zastupitelnΘ, a zΦßsti i p°ebφrajφ n∞kterΘ funkce konkrΘtnφch name server∙ nejvyÜÜφ ·rovn∞.
SystΘm DNS se v praxi velmi osv∞dΦil, a stal se jednφm ze zßkladnφch mechanism∙, na kter²ch je zalo₧en dneÜnφ obrovsk² ·sp∞ch Internetu. ╚asem se ale ukßzalo, ₧e je mo₧nΘ jej vyu₧φt i k dalÜφm ·Φel∙m, ne₧ jen ke vzßjemn²m p°evod∙m mezi symbolick²mi a Φφseln²mi adresami.
ZajφmavΘ mo₧nosti sk²tß nap°φklad ji₧ samotnß existence name server∙ pro ka₧dou jednotlivou domΘnu. Zatφm jsme se na n∞ dφvali jako na v²konnΘ Φlßnky obrovskΘho soukolφ p°evodnφho mechanismu, ale stejn∞ tak dob°e bychom je mohli pova₧ovat za obrovskou distribuovanou databßzi, v rßmci kterΘ jsou pro ka₧dou existujφcφ domΘnu uchovßvßny r∙znΘ d∙le₧itΘ ·daje - p°edevÜφm IP adresy jednotliv²ch uzl∙. ProΦ ale nevyu₧φt tuto distribuovanou databßzi i k jin²m ·Φel∙m, nap°φklad pro pot°eby elektronickΘ poÜty? Zatφm ale netuÜφme, k Φemu by to mohlo b²t dobrΘ - proto si nejprve ud∞lejme malou exkurzi do sv∞ta elektronickΘ poÜty.
Autor tohoto Φlßnku si zvykl p°ijφmat svou elektronickou poÜtu na poΦφtaΦi frode.dcit.cz, na kterΘm je veden jako u₧ivatel pet. Jeho adresa pro elektronickou poÜtu by proto m∞la b²t pet@frode.dcit.cz. Pokud by ale poΦφtaΦ se jmΘnem frode v domΘn∞ dcit.cz p°estal fungovat, nebo by dokonce p°estal existovat, musel by autor obeslat vÜechny, se kter²mi si koresponduje, a oznßmit jim zm∞nu svΘ poÜtovnφ adresy. Rozumn∞jÜφ alternativou je pou₧φvat adresu pet@dcit.cz, kterß nespecifikuje ₧ßdn² konkrΘtnφ poΦφtaΦ. Mß-li vÜak b²t elektronickß poÜta na takovouto adresu ·sp∞Ün∞ doruΦovßna, musφ b²t n∞jak² konkrΘtnφ poΦφtaΦ coby jejφ p°φjemce urΦen. Informace o tomto poΦφtaΦi vÜak ji₧ nenφ p°φmou souΦßstφ poÜtovnφ adresy, ale m∙₧e b²t souΦßstφ informacφ, kterΘ jsou v rßmci systΘmu DNS uchovßvßny pro domΘnu dcit.cz na p°φsluÜn²ch name serverech. Zde pak m∙₧e b²t stanoveno, na kter² poΦφtaΦ se mß p°ijφmat veÜkerß poÜta pro domΘnu dcit.cz , p°φpadn∞ i v zßvislosti na konkrΘtnφch u₧ivatelφch - ve smyslu: "poÜtu pro u₧ivatele pet s adresou pet@dcit.cz posφlej na adresu pet@frode.dcit.cz.
V²sledn² efekt je pak takov², ₧e kdy₧ bude chtφt u₧ivatel pet p°ijφmat svou poÜtu na jinΘm poΦφtaΦi v rßmci domΘny dcit.cz (nebo i jinde), jeho poÜtovnφ adresa pet@dcit.cz se nebude m∞nit, a nebude tedy ani nutnΘ p°φpadnou zm∞nu avizovat ostatnφm u₧ivatel∙m. Mφsto toho bude staΦit jedinß zm∞na v zßznamech, kterΘ definujφ zp∙sob doruΦovßnφ poÜty v rßmci domΘny dcit.cz.