DNS: co to jest, jak działa i jak naprawić błędy

DNS tłumaczy nazwy takie jak devstockacademy.pl na adresy IP używane przez urządzenia, dlatego awaria tego mechanizmu potrafi odciąć strony mimo sprawnego połączenia z internetem. Zapytanie może przejść od pamięci urządzenia przez resolver i serwery nadrzędne do serwera autorytatywnego, a wynik zależy od rekordów oraz ich TTL. Właściwa kolejność diagnostyki pozwala oddzielić awarię DNS od problemu z siecią, a potem świadomie porównać Cloudflare, Google Public DNS i Quad9.

Spis treści

• DNS – co to jest i do czego służy
• Jak działa DNS krok po kroku
• Najważniejsze rekordy DNS
• Serwer DNS nie odpowiada – co zrobić
• Jaki publiczny DNS wybrać
• Jak zmienić DNS
• DoH, DoT i DNSSEC
• FAQ

DNS – co to jest i do czego służy

DNS, czyli Domain Name System, jest rozproszonym systemem informacji o domenach. Najczęściej odpowiada na pytanie, jaki adres IP jest przypisany do nazwy strony. Dzięki temu wpisujesz łatwą do zapamiętania domenę, a komputer łączy się z serwerem wskazanym przez odpowiedni rekord.

Określenie “serwer DNS” bywa mylące, bo w całym procesie uczestniczy kilka typów serwerów. Resolver rekursywny przyjmuje pytanie od urządzenia i szuka odpowiedzi. Serwer autorytatywny przechowuje właściwe rekordy dla konkretnej strefy, na przykład domeny firmy. Po drodze działają serwery główne oraz serwery domen najwyższego poziomu, takie jak .pl czy .com.

DNS obsługuje także pocztę, potwierdzanie własności domeny i ustawienia bezpieczeństwa. Rekord MX wskazuje serwery pocztowe, a rekordy TXT przenoszą między innymi dane używane w SPF, DKIM i weryfikacji usług. Ten system jest więc częścią niemal każdego wejścia na stronę, wysłania wiadomości i podłączenia domeny do usługi w chmurze.

Jak działa DNS krok po kroku

Rozwiązywanie nazwy zaczyna się od sprawdzenia lokalnych zapisów, a kończy zwróceniem rekordu z adresem i czasem jego przechowywania. Pełna droga jest potrzebna głównie wtedy, gdy odpowiedzi nie ma jeszcze w pamięci podręcznej.

1. Przeglądarka sprawdza własną pamięć oraz dane zapisane przez system operacyjny.
2. Urządzenie wysyła pytanie do skonfigurowanego resolvera. Zwykle podaje go router albo operator internetu.
3. Resolver sprawdza swoją pamięć podręczną. Świeża odpowiedź kończy wyszukiwanie.
4. Przy braku gotowej odpowiedzi resolver korzysta z najbliższej delegacji zachowanej w pamięci. Gdy jej również nie ma, pyta serwer główny, który wskazuje serwery właściwe dla końcówki domeny.
5. Serwer domeny najwyższego poziomu wskazuje serwer autorytatywny dla konkretnej domeny.
6. Serwer autorytatywny zwraca rekord, a resolver przekazuje go urządzeniu i zapisuje na czas określony przez TTL.

TTL, czyli czas życia rekordu, jest podawany w sekundach. Informuje resolver, jak długo może korzystać z zapisanej odpowiedzi. Jeśli administrator zmieni adres serwera, część użytkowników zobaczy nowy wynik dopiero po wygaśnięciu wcześniejszego wpisu. Dlatego “propagacja DNS” często jest w praktyce oczekiwaniem na różne czasy pamięci podręcznej.

Szczegółowy model warstw sieci opisujemy w poradniku o modelu OSI i TCP/IP. Do zwykłej diagnozy nie trzeba znać całej architektury. Wystarczy rozdzielić nazwę domeny, adres IP, router i resolver.

Najważniejsze rekordy DNS

Rekord DNS jest wpisem opisującym domenę lub usługę. Typ rekordu określa znaczenie przechowywanej wartości.

CNAME wskazuje nazwę, więc resolver musi wykonać jeszcze jedno sprawdzenie, aby dojść do adresu. Rekord A zawiera gotowy adres IPv4. W praktyce błędny CNAME może powodować pętlę albo prowadzić do nazwy, która nie istnieje.

TXT nie ma jednego stałego formatu. Jego znaczenie wynika z usługi, która go odczytuje. Wklejenie wpisu SPF do niewłaściwej subdomeny albo utworzenie kilku sprzecznych rekordów potrafi popsuć dostarczanie poczty mimo działającej strony.

Pierwsza Misja AI · Kodożercy

AI bez technikaliów – kurs i certyfikat

Pierwsza Misja AI to kurs Kodożerców dla absolutnych początkujących. Fabuła w konwencji science fiction, gamifikacja, ćwiczenia na żywym modelu, certyfikat na koniec.

Zacznij Pierwszą Misję →

Serwer DNS nie odpowiada – co zrobić

Błąd odpowiedzi DNS trzeba zacząć od sprawdzenia, czy zawiódł resolver, czy całe połączenie. Zmiana adresów DNS nie pomoże, gdy komputer stracił łączność z routerem albo operator ma awarię.

1. Sprawdź zakres problemu

Otwórz kilka stron na tym samym urządzeniu, a potem jedną z nich na telefonie korzystającym z tej samej sieci Wi-Fi. Jeśli problem dotyczy tylko jednej domeny, przyczyną może być jej konfiguracja lub awaria serwera autorytatywnego. Gdy nie działa nic, zrestartuj router i urządzenie.

Rozłącz na chwilę VPN oraz program filtrujący ruch. Taka aplikacja może przejąć obsługę DNS i kierować zapytania do własnego resolvera. Po teście przywróć ochronę i sprawdź jej ustawienia, zamiast zostawiać ją wyłączoną.

2. Oddziel awarię DNS od awarii internetu

W Windows otwórz Wiersz polecenia i wpisz:

ping 1.1.1.1

Odpowiedź z adresu IP przy braku dostępu do stron wskazuje na problem z nazwami. Brak odpowiedzi nie przesądza jeszcze sprawy, bo niektóre sieci blokują ping. To sygnał, aby sprawdzić router, kabel, Wi-Fi oraz status operatora.

Następnie sprawdź domenę:

nslookup devstockacademy.pl

Polecenie pokazuje użyty resolver i zwrócone adresy. Możesz odpytać drugi serwer bez zmiany ustawień całego systemu:

nslookup devstockacademy.pl 1.1.1.1
nslookup devstockacademy.pl 9.9.9.9

Jeśli drugi resolver odpowiada, obecnie skonfigurowany serwer może mieć awarię albo inną politykę filtrowania. Więcej narzędzi sieciowych znajdziesz w zestawieniu komend CMD do diagnozy Windows.

3. Wyczyść pamięć DNS i zmień resolver testowo

Windows pozwala usunąć lokalne wpisy poleceniem uruchomionym w Wierszu polecenia:

ipconfig /flushdns

Ta czynność pomaga, gdy system zachował błędny lub stary wynik. Nie usuwa wpisów z pamięci routera ani resolvera operatora. Po wykonaniu polecenia ponów wejście na stronę. nslookup wykorzystaj osobno do sprawdzenia odpowiedzi skonfigurowanego resolvera, ponieważ polecenie odpytuje go bezpośrednio i omija lokalną pamięć klienta DNS.

Gdy problem wraca na kilku urządzeniach, ustaw drugi resolver tymczasowo na jednym komputerze. Działanie po zmianie jest mocnym śladem, ale nadal może wskazywać na filtr operatora, uszkodzoną pamięć w routerze lub problem z trasą do poprzedniego dostawcy.

Jaki publiczny DNS wybrać

Wybór publicznego resolvera zależy od funkcji, prywatności i lokalnego działania. Opóźnienie zmienia się wraz z miastem, operatorem, trasą sieciową i obciążeniem. Wynik z jednego łącza nie daje uczciwego rankingu dla całej Polski.

Cloudflare opisuje warianty adresów 1.1.1.1 w oficjalnej dokumentacji. Standardowy adres nie filtruje treści. Rodzinny wariant z końcówką .2 blokuje znane złośliwe domeny, a .3 dodaje filtr treści dla dorosłych.

Google Public DNS zaznacza, że nie jest usługą blokowania złośliwego oprogramowania. Może jednak nie rozwiązać domeny ze względów bezpieczeństwa lub prawnych. Quad9 stawia na blokowanie domen łączonych ze złośliwym oprogramowaniem, wyłudzaniem danych i oszustwami oraz deklaruje brak zapisywania adresów IP użytkowników końcowych.

Samo wpisanie adresu IPv4 resolvera nie włącza DoH ani DoT. Szyfrowanie trzeba skonfigurować osobno w systemie, przeglądarce albo routerze, o ile dane urządzenie i wybrana usługa obsługują taki tryb.

Jeśli zależy ci na filtrowaniu, sprawdź zachowanie usługi na domenach testowych dostawcy. Mechanizm DNS blokuje całą domenę. Nie rozpozna szkodliwej podstrony znajdującej się obok legalnej treści w tej samej domenie. Szersze wyjaśnienie znajdziesz w artykule o filtrowaniu na poziomie DNS.

Jak zmienić DNS na komputerze, telefonie i routerze

Zmiana DNS na urządzeniu obejmuje jego połączenia, a konfiguracja w routerze może objąć całą sieć. Nazwy pól różnią się między wersjami systemów i panelami routerów, dlatego przed zapisem warto zanotować ustawienia automatyczne oraz poprzednie adresy.

Windows 11 i Windows 10

Otwórz właściwości aktywnego połączenia sieciowego i przejdź do ustawień protokołu IP. Wybierz ręczne serwery DNS dla IPv4, wpisz adres podstawowy oraz zapasowy, a następnie zapisz zmiany. W nowszych wydaniach Windows 11 można też wybrać szyfrowanie, jeśli system rozpoznaje dostawcę.

Po zmianie uruchom nslookup, aby sprawdzić resolver skonfigurowany w systemie. Ustawienia Secure DNS lub DoH przeglądarki sprawdź oddzielnie, ponieważ przeglądarka może omijać konfigurację systemową. Własnego resolvera może też używać VPN albo program bezpieczeństwa.

Android, iPhone i iPad

Android obsługuje Prywatny DNS oparty na DoT. W tym polu wpisuje się nazwę hosta podaną przez dostawcę, na przykład dns.quad9.net. Sam adres IP nie spełnia wymagań tego pola. Ścieżka do ustawienia zależy od producenta telefonu.

Na iPhonie i iPadzie adresy DNS można zmienić w szczegółach konkretnej sieci Wi-Fi. Taka konfiguracja nie obejmuje automatycznie transmisji komórkowej. Profil aplikacji dostawcy może objąć więcej połączeń, ale daje tej aplikacji dodatkowe uprawnienia sieciowe, które trzeba świadomie ocenić.

Router

Panel routera zwykle ma pola DNS w ustawieniach internetu, DHCP albo sieci lokalnej. Jedne modele używają resolvera samodzielnie, inne przekazują jego adres urządzeniom przez DHCP. Po zapisie może być potrzebne ponowne połączenie urządzeń z siecią, aby pobrały nową konfigurację.

Router od operatora może blokować edycję tych pól. Wtedy można ustawić DNS osobno na urządzeniach albo użyć własnego routera, jeśli warunki usługi na to pozwalają.

DoH, DoT i DNSSEC – co chronią

DoH oraz DoT szyfrują drogę zapytania między urządzeniem a resolverem. Pierwszy mechanizm przesyła pytania w ruchu HTTPS. Drugi korzysta z osobnego szyfrowanego połączenia. Operator lokalnej sieci widzi wtedy mniej szczegółów zapytań, choć nadal może zobaczyć adresy serwerów, z którymi urządzenie się łączy.

DNSSEC pozwala sprawdzić kryptograficzny podpis odpowiedzi dla domen, które go wdrożyły. Resolver może dzięki temu wykryć podmienione dane. DNSSEC nie szyfruje zapytania i nie ukrywa domeny przed resolverem. DoH lub DoT oraz DNSSEC rozwiązują różne problemy i mogą działać równocześnie.

Szyfrowany DNS nie zastępuje HTTPS, antywirusa ani filtrowania w przeglądarce. Po uzyskaniu adresu IP aplikacja nadal łączy się z docelowym serwerem. Bezpieczny resolver może odrzucić znaną złośliwą domenę, ale nie oceni treści przesyłanej później w legalnej domenie.

FAQ – DNS i serwery DNS

Czy zmiana DNS przyspiesza internet?

Zmiana DNS może skrócić czas pierwszego odnalezienia adresu strony, jeśli nowy resolver odpowiada szybciej. Nie zwiększa przepustowości łącza, prędkości pobierania plików ani zasięgu Wi-Fi. Różnicę trzeba mierzyć na własnym łączu, o tej samej porze i dla kilku domen.

Czy 1.1.1.1 jest bezpieczny?

Cloudflare 1.1.1.1 obsługuje DoH, DoT i walidację DNSSEC, a firma publikuje zasady przetwarzania danych resolvera. Podstawowy wariant nie blokuje szkodliwych domen. Do filtrowania złośliwego oprogramowania służy 1.1.1.2, a zakres ochrony nadal ogranicza się do poziomu domeny.

Czy DNS widzi odwiedzane strony?

Resolver widzi nazwy domen w przesyłanych zapytaniach, chyba że odpowiedź pochodzi z lokalnej pamięci. Nie widzi pełnego adresu podstrony przesyłanego wewnątrz szyfrowanego połączenia HTTPS. Użycie DoH lub DoT chroni zapytanie przed podsłuchem po drodze, lecz sam wybrany resolver nadal je obsługuje.

Co oznacza prywatny DNS w telefonie?

Prywatny DNS w Androidzie oznacza połączenie z resolverem przez szyfrowany protokół DoT. Ustawienie wymaga nazwy hosta zgodnej z dokumentacją dostawcy. Zakres funkcji obejmuje zapytania DNS. Szyfrowanie całego ruchu wymaga oddzielnego rozwiązania, na przykład sieci VPN.

Podsumowanie

DNS zamienia nazwy domen na adresy IP i przechowuje także dane potrzebne poczcie, weryfikacji usług oraz delegowaniu domen. Resolver szuka odpowiedzi w pamięci i korzysta z najbliższej znanej delegacji. Dopiero bez takich danych zaczyna od serwera głównego, a następnie pyta strefę najwyższego poziomu oraz serwer autorytatywny. Przy błędzie najpierw sprawdź inne strony oraz połączenie z adresem IP. Potem użyj nslookup, wyczyść lokalną pamięć i porównaj odpowiedź drugiego resolvera. Cloudflare, Google i Quad9 różnią się filtrowaniem oraz polityką prywatności, a ich szybkość zależy od lokalnej sieci. DoH i DoT szyfrują zapytanie do resolvera, DNSSEC sprawdza autentyczność podpisanych danych, a żadna z tych funkcji nie zastępuje HTTPS ani pełnej ochrony urządzenia.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.