Ogni volta che aprite un sito, il computer deve prima chiedere a qualcuno l'indirizzo numerico corrispondente al nome. Quel qualcuno è il DNS. È un passaggio che avviene decine di volte per ogni pagina e che nessuno nota, finché non funziona.
Come funziona, in breve
Digitate un nome, il computer chiede al server DNS configurato quale sia l'indirizzo IP corrispondente, riceve la risposta e solo a quel punto inizia il collegamento vero. La risposta viene messa in cache per un po', così le richieste successive sono immediate.
Se il DNS è lento, ogni sito sembra lento a partire, anche con una linea velocissima. Se il DNS non risponde, sembra che "internet non funzioni" pur avendo la connessione perfettamente attiva. È una delle diagnosi sbagliate più frequenti in assoluto.
Perché cambiare quelli dell'operatore
- Velocità: alcuni DNS di operatore sono lenti o sovraccarichi in certe fasce orarie.
- Affidabilità: i servizi DNS pubblici principali hanno una disponibilità molto elevata e infrastruttura distribuita.
- Sicurezza: esistono servizi DNS che bloccano automaticamente i domini noti per phishing, malware e comando e controllo. È un filtro che agisce prima ancora che il browser si colleghi.
- Controllo dei contenuti: in azienda si possono bloccare intere categorie di siti senza installare nulla sulle postazioni.
Quest'ultimo punto è quello sottovalutato: un DNS filtrante ben scelto ferma una quota significativa dei tentativi di phishing, perché l'utente può anche cliccare sul link, ma il dominio non si risolve.
Come configurarli correttamente in azienda
- Impostate i DNS sul router o sul firewall, non su ogni singolo computer: si gestiscono in un punto solo.
- Se avete un server con dominio interno (Active Directory), le postazioni devono puntare al server interno, e solo il server deve inoltrare le richieste esterne al DNS pubblico. Sbagliare questo passaggio manda in crisi tutte le risoluzioni interne.
- Impostate sempre due server: primario e secondario, possibilmente di fornitori diversi.
- Bloccate sul firewall le richieste DNS dirette verso l'esterno provenienti dalle postazioni: altrimenti chi vuole aggirare il filtro cambia il DNS sul proprio computer e passa lo stesso.
Quando il problema è il DNS
Alcuni sintomi tipici che indicano una questione di risoluzione nomi e non di connessione:
- I siti si aprono se digitate l'indirizzo numerico ma non con il nome.
- Alcuni siti funzionano e altri no, in modo apparentemente casuale.
- Le pagine impiegano diversi secondi a "partire" e poi si caricano subito.
- Un sito appena modificato mostra ancora la versione vecchia: è la cache DNS, che si svuota da sola nel giro di ore.
Un test rapido: provate a raggiungere un indirizzo IP direttamente. Se risponde, la connessione c'è e il problema è la risoluzione dei nomi.
DNS cifrato: cosa cambia
I browser moderni possono cifrare le richieste DNS. È positivo per la privacy dell'utente, ma in azienda può scavalcare i filtri impostati sulla rete, perché la richiesta non passa più dal DNS aziendale. Nelle configurazioni aziendali va disattivato tramite policy, oppure va adottato un servizio che supporti il DNS cifrato mantenendo il filtro.
Conclusione
I DNS sono uno dei pochi elementi che si configurano in dieci minuti e migliorano contemporaneamente velocità, affidabilità e sicurezza. In azienda, un servizio DNS con filtro sui domini malevoli è fra le protezioni con il miglior rapporto fra costo e beneficio. Se volete impostarlo sul vostro firewall con le regole giuste, possiamo occuparcene.