⚙️ DNS & DHCP – Adressage IP & Résolution de Noms

La Séquence de "Bootstrap"

L'ordre est crucial. DHCP vient TOUJOURS avant DNS.

1. [PC] (se branche)
   │
   │ (Broadcast DHCP Discover)
   ▼
2. [SERVEUR DHCP (Routeur)]
   │
   │ (Réponse DHCP Offer/Ack)
   │ (Donne 4 choses :)
   │   - IP: 192.168.1.50
   │   - Masque: 255.255.255.0
   │   - Passerelle: 192.168.1.1
   │   - Serveur DNS: 8.8.8.8
   ▼
3. [PC] (est configuré. L'utilisateur tape google.com)
   │
   │ (Requête DNS vers 8.8.8.8 : "IP de google.com ?")
   ▼
4. [SERVEUR DNS (8.8.8.8)]
   │
   │ (Réponse DNS : "C'est 142.250.179.196")
   ▼
5. [PC]
   │
   │ (Requête HTTP vers 142.250.179.196 via la Passerelle 192.168.1.1)
   ▼
6. [INTERNET]

DHCP Lease (Bail)

L'adresse IP n'est pas donnée "à vie", elle est prêtée. La durée de ce prêt est le Bail (Lease).

• Réseau Filaire (Entreprise) : Bail long (ex: 8 jours).
• Réseau Wi-Fi (Invité/Public) : Bail court (ex: 1 heure ou 24 heures) pour recycler rapidement les IPs.

Renouvellement (Timers T1 & T2)

Le client tente de renouveler son bail avant qu'il n'expire :

• Timer T1 (50% du bail) : Le client envoie une Request (Unicast) au serveur DHCP d'origine pour prolonger.
• Timer T2 (87.5% du bail) : Si T1 échoue, le client envoie une Discover (Broadcast) pour trouver un *nouveau* serveur DHCP.

Protocole (UDP/TCP 53)

DNS est un protocole Applicatif (L7) qui utilise deux protocoles de Transport (L4) :

UDP Port 53 (Défaut, Rapide)

• Utilisé pour 99% des requêtes (Client -> Serveur).
• Pourquoi ? La requête ("IP de google.com ?") et la réponse ("1.2.3.4") sont très petites.
• Utiliser UDP (non-fiable, pas de handshake) est beaucoup plus rapide que d'établir une connexion TCP pour une si petite transaction.

TCP Port 53 (Fiable)

• Utilisé quand la réponse DNS est trop grosse (dépasse 512 octets (legacy) ou la limite EDNS).
• Utilisé pour les Transferts de Zone (AXFR/IXFR) : La synchronisation complète de la base de données entre un serveur DNS Maître (Autoritatif) et un serveur Esclave. (Fiabilité requise).

TTL (Time To Live)

Comment le cache sait-il quand l'enregistrement expire ? Grâce au TTL.

Le TTL est une valeur (en secondes) fixée par l'administrateur (sur le serveur Autoritatif) pour chaque enregistrement. C'est la "date de péremption".

Enregistrement : www.ideolab.com.  A  3600  1.2.3.4
(Nom)          (Type) (TTL) (Valeur)

• TTL 3600 (1 heure) : (Courant) Le résolveur (8.8.8.8) garde 1.2.3.4 en cache pendant 1 heure.
• TTL 60 (1 min) : (Migration) Utilisé avant un changement d'IP de serveur, pour forcer les résolveurs à rafraîchir rapidement le cache (réduire le temps de propagation).

CNAME (Canonical Name) - Alias

Un CNAME mappe un nom d'hôte (un "alias") vers un autre nom d'hôte (le nom "canonique" ou "vrai" nom).

Usage : Très utile lorsque plusieurs services pointent vers la même machine, ou lorsque la destination est gérée par un tiers (ex: GitHub Pages, Heroku).

; Cible est un service externe
blog   CNAME   3600   ghs.googlehosted.com.
ftp    CNAME   3600   www.ideolab.com.

; Le client demandant "ftp.ideolab.com"
; recevra une réponse CNAME.
; Il devra refaire une requête DNS pour "www.ideolab.com"
; afin d'obtenir l'IP.

Règle : Si un hôte a un CNAME (ex: "blog"), il ne peut pas avoir d'autres records (comme MX ou A). C'est pourquoi le domaine "racine" (ideolab.com) ne peut généralement pas être un CNAME (car il doit avoir des records NS et SOA).

DKIM (DomainKeys Identified Mail)

Question : "L'email a-t-il été altéré (Intégrité) ?"

Utilise la cryptographie asymétrique (Clé Publique/Privée).

1. Le serveur d'envoi (Google) signe l'email (en-têtes + corps) avec une clé privée.
2. Il publie la clé publique dans un record TXT/DKIM (ex: google._domainkey.ideolab.com).
3. Le récepteur (Gmail) récupère la clé publique (DNS) et vérifie la signature.

DMARC (Domain-based Message Authentication...)

Question : "Que faire si SPF ou DKIM échouent ?"

C'est la politique qui lie SPF et DKIM.

_dmarc.ideolab.com. TXT "v=DMARC1; p=reject; rua=mailto:reports@ideolab.com"

• p=none : Ne rien faire (Monitoring).
• p=quarantine : Mettre en Spam.
• p=reject : Rejeter l'email. (Objectif final).
• rua= : Envoyer des rapports d'agrégat.

DoH (DNS over HTTPS) & DoT (DNS over TLS)

Problème : DNSSEC valide la réponse, mais la requête (UDP 53) est toujours en texte clair. Votre FAI (ou un attaquant sur un Wi-Fi public) peut "voir" tous les sites que vous visitez (Confidentialité).

Solution (Chiffrement)

• DoT (DNS over TLS) : Encapsule la requête DNS dans un tunnel TLS dédié (Port 853).
• DoH (DNS over HTTPS) : (Le plus populaire) Encapsule la requête DNS dans une requête HTTPS (Port 443).
  • Avantage : Indiscernable du trafic web normal (HTTPS 443). Contourne les firewalls qui bloquent le Port 853. (Intégré dans Firefox, Chrome, Windows).

La Défense : DHCP Snooping

C'est une fonctionnalité de Switch (L2) Manageable.

Fonctionnement : On configure les ports du switch :

• Ports "Untrusted" (Non fiables) : (Défaut) Tous les ports "clients" (PC, Invités).
• Ports "Trusted" (Fiables) : Le(s) port(s) "Trunk" menant au vrai serveur DHCP.

Action : Le switch bloque tous les messages "DHCP Offer" et "DHCP Ack" (messages de serveur) arrivant sur un port "Untrusted".

L'attaquant (branché sur un port "Untrusted") ne peut plus envoyer d'offres.

nslookup (Name Server Lookup)

Outil standard (Windows, Linux, Mac) pour interroger un serveur DNS.

# 1. Résolution simple (utilise le DNS par défaut)
C:\> nslookup google.com
Serveur :   dns.google
Address:   8.8.8.8
...
Nom :     google.com
Adresses : 2a00:1450:4007:812::200e
          142.250.179.196

# 2. Interroger un type (MX)
C:\> nslookup -type=MX google.com
...
google.com      MX preference = 10, mail exchanger = smtp.google.com.

# 3. Interroger un serveur spécifique
C:\> nslookup google.com 1.1.1.1
(Utilise Cloudflare au lieu du DNS par défaut)

dig (Domain Information Groper)

(Linux/Mac) L'outil préféré des administrateurs, beaucoup plus verbeux et précis.

# 1. Résolution A (par défaut)
$ dig google.com
...
;; QUESTION SECTION:
;google.com.                    IN      A
;; ANSWER SECTION:
google.com.             180     IN      A       142.250.186.78
...

# 2. Résolution MX
$ dig google.com MX
...
;; ANSWER SECTION:
google.com.             3600    IN      MX      10 smtp.google.com.
...

# 3. Interroger un serveur spécifique
$ dig @1.1.1.1 google.com

# 4. Voir le chemin (ANY +trace)
$ dig google.com +trace
(Montre la résolution Root -> TLD -> Auth)