Messaggi DNS — UDP o TCP?
Il protocollo DNS utilizza un meccanismo di richiesta (query) e risposta (response) e può operare sia su UDP che su TCP, entrambi sulla porta 53. La scelta tra i due dipende dal tipo di operazione.
Il flag TC (Truncated)
Se una risposta DNS supera la dimensione massima consentita da UDP — tradizionalmente 512 byte, estendibili con EDNS0 fino a ~4096 byte — il server imposta il flag TC (Truncated) nella risposta, segnalando al client di ripetere la stessa query usando TCP.
Trasferimento di zona (AXFR / IXFR)
Il trasferimento di zona DNS avviene quando un server DNS secondario deve sincronizzarsi con il server primario, replicando l’intero contenuto della zona DNS. Questa operazione coinvolge grandi quantità di dati e richiede affidabilità e controllo degli errori — per questo usa TCP/53.
Trasferisce l’intera zona DNS dal server primario al secondario. Usato per la prima sincronizzazione o dopo modifiche significative.
Trasferisce solo le modifiche avvenute dalla precedente sincronizzazione. Più efficiente di AXFR per aggiornamenti frequenti.
Il trasferimento di zona espone l’intero contenuto del DNS di un dominio. Va limitato esclusivamente agli IP dei server secondari autorizzati. Un AXFR aperto a chiunque è una grave vulnerabilità sfruttata nel footprinting e nel ricognizione OSINT.
DNSSEC
Con l’introduzione di DNSSEC (DNS Security Extensions), le risposte DNS includono firme digitali crittografiche che permettono al client di verificare l’autenticità e l’integrità dei dati ricevuti. Questo protegge da attacchi come il DNS cache poisoning.
Poiché le firme DNSSEC aumentano considerevolmente la dimensione delle risposte, il passaggio da UDP a TCP/53 diventa molto più frequente. DNSSEC non cifra il traffico DNS (per quello esiste DNS over HTTPS — DoH), ma garantisce che i dati non siano stati alterati.
DNS Dinamico (DDNS)
Il DNS dinamico (DDNS) è un meccanismo che aggiorna automaticamente i record DNS quando l’indirizzo IP pubblico cambia. È indispensabile nelle connessioni domestiche e SOHO, dove il provider assegna IP dinamici che variano periodicamente.
Caso d’uso tipico
Vuoi accedere dall’esterno a una telecamera IP o a un NAS domestico
Il tuo provider Internet cambia periodicamente il tuo IP pubblico — l’accesso diretto diventa impossibile
Un client DDNS installato sul router rileva automaticamente il cambio di IP
Il client aggiorna il record DNS associato al nome scelto: miarete.ddns.net
Tu accedi sempre con lo stesso nome — indipendentemente dall’IP corrente ✓
Provider DDNS più utilizzati
- DNS usa UDP/53 per le query standard (veloce, leggero); usa TCP/53 per trasferimenti di zona e risposte grandi
- Il flag TC (Truncated) segnala che la risposta è stata troncata e va ripetuta via TCP
- DNSSEC aggiunge firme digitali per autenticare le risposte DNS, aumentandone la dimensione → più uso di TCP
- DDNS aggiorna automaticamente il record DNS quando l’IP pubblico cambia — fondamentale per accedere a reti domestiche dall’esterno