Esta es una pregunta muy antigua, pero tenía muchas de las mismas preguntas para averiguar cómo funciona Internet . Al igual que las otras respuestas, los libros de redes ofrecen una visión general de BGP y DNS, pero aún así me dejaron confundido. Por ejemplo, a.root-servers.net a través de m.root-servers.net se proporcionan como servidores raíz, pero ¿cómo sabe un servicio DNS dónde encontrar esos servidores si no pueden usar DNS ellos mismos?
Los principios básicos de IP, subredes, DNS, etc. se suponen conocidos por esta respuesta. Estoy abordando las "brechas" que yo, y probablemente el interrogador, tengo sobre cómo funciona Internet. De ninguna manera soy un experto, pero esta es mi comprensión de las brechas.
Direcciones IP
Lo primero a tener en cuenta es que cuando Internet comenzó como ARPANET, todos conocían a todos y las tablas de enrutamiento para las direcciones IP fueron codificadas a mano. Supongo que el proceso de asignación de IP se realizó por teléfono. A medida que Internet se hizo demasiado grande, BGP fue utilizado por múltiples redes (AS) para anunciar que tenían IP públicas o que podían acceder a una IP pública a través de su AS a otro AS. La confianza era que un AS no anunciaría una IP que no tenía.
Hoy, no hay tanta confianza. En cambio, los ISP pueden descargar y autenticar las asignaciones de IP a cada AS desde la IANA y las autoridades regionales. Estas descargas ahora se autentican mediante criptografía de clave pública. Entonces, cuando IANA "asigna una dirección IP", están cambiando su registro (o realmente la autoridad regional cambia su registro). Todos los demás AS pueden descargar y autenticar sus registros.
Estos registros son importantes porque los ISP no pueden tomar la palabra de otros ISP de que tienen las direcciones IP. Los ISP pueden comparar el anuncio BGP con los registros IP autenticados. Si algún anuncio de BGP muestra el último AS como un AS distinto de lo que está en el registro autenticado de IANA y RIR, el anuncio de BGP no cambia su propia ruta.
Más comúnmente, un ISP o AS no autorizado puede anunciar que tiene una ruta a través de su AS que no tiene. AS1 tiene una IP registrada y AS5 actualmente usa AS5 -> AS4 -> AS3 -> AS1 -> IP. AS2 anuncia a AS5 una ruta de AS5 -> AS2 -> AS1 -> IP. Excepto que AS2 en realidad no tiene una conexión con AS1. Simplemente puede perder los paquetes, tal vez para frustrar a los clientes de alojamiento de AS1. O AS2 podría ser una red de una pequeña empresa con un acuerdo de alojamiento múltiple con AS5 y AS1. Su enrutador está mal configurado y anuncia una ruta a través de la red de una pequeña empresa. Casi todos los ISP tiran dichos anuncios de sus clientes de BGP y solo transmiten la terminación de los anuncios de BGP.
Lo más probable es que tenga el caso de Pakistán tratando de cerrar Youtube en Pakistán a través de ese secuestro de IP, y también cerró Youtube fuera de Pakistán ya que los AS fuera de Pakistán asumieron que sus anuncios de BGP eran correctos.
Al final, no hay una defensa perfecta contra tal secuestro de IP. En la mayoría de los países como los EE. UU., Dicho abuso de BGP puede ser castigado como incumplimiento de contrato y otros ISP cerrarán las conexiones entre pares con ese AS si es necesario. Un ISP también podría ignorar todo el aparato IANA y RIR y redirigir las direcciones IP a sus propios servidores. Sin embargo, eso no funcionará para ningún sitio https, suponiendo que el ISP no tenga las claves privadas para ninguna CA. Hay muy poco que ganar económicamente. Solo sucede con gobiernos autoritarios, como Egipto que recientemente cerró todos los anuncios de BGP a sus ISP desde fuera del país.
Servidores DNS
DNS es algo más simple una vez que las tablas IP son correctas. Los servidores raíz son todas direcciones IP codificadas en el código del servidor DNS. a.root-servers.net es 198.41.0.4 y la dirección IP se difunde en un AS. En el caso de a.root-servers.net, el AS es Verisign y hay cinco sitios diferentes. En los Estados Unidos, los dos sitios son Nueva York y Los Ángeles. Cualquier difusión es como si tuviera una dirección de 123 Main Street y dijera "No importa en qué ciudad se encuentre, vaya a 123 Main Street y encontrará uno de mis negocios". Tanto 123 Main Street en NY como LA darán la misma respuesta para todos los dominios de nivel superior. El AS, en este caso Verisign, determina internamente qué servidor tiene la menor cantidad de saltos a través de OSPF, BGP interno y otros protocolos de enrutamiento. Entonces, un enrutador en Denver puede ir a LA mientras que un enrutador en Chicago va a Nueva York.
Uno de los servidores raíz proporciona qué dirección IP para el dominio de nivel superior com. Entonces ese dominio le da el dominio para yoursite.com. Los registradores realmente tienen un contrato con quien administra el dominio de nivel superior. Entonces, si el dominio de nivel superior actualmente no tiene un registro para yoursite.com, tiene acceso para agregar un registro con su servidor who-is. Luego, con el acceso que el registrador le dio a los registros DNS de yoursite.com, usted cambia los registros en su servidor DNS para ir a su dirección IP.
Debido a que todo el DNS depende de que varias direcciones IP vayan al lugar correcto, tiene el mismo problema que antes con los AS que autentican el registro IP y luego las asignaciones BGP. Esa es la pieza clave para un sitio web http. Https tiene la protección adicional de los certificados. Por lo tanto, un ISP no puede redirigir las solicitudes de sus propios servidores raíz y servidores de dominio de nivel superior para dar su propia IP para, por ejemplo, citibank.com. Si lo hicieran, la dirección IP dada al usuario será una dirección IP diferente, pero su servidor no tendrá la clave privada de Citibank.