DNS, DHCP e NAT: resolução de nomes, DORA e tradução de endereços

Três serviços fazem a rede doméstica e corporativa funcionar sem que o usuário perceba: o DNS traduz nomes em endereços, o DHCP entrega a configuração de rede ao computador que acabou de se conectar e o NAT permite que muitos equipamentos de uma rede privada compartilhem um endereço público. As provas de redes cobram o funcionamento de cada um e suas pegadinhas. A visão geral de portas e protocolos está em redes de computadores e internet; aqui o foco é o mecanismo.

DNS: do nome ao endereço

O DNS (Sistema de Nomes de Domínio) é um banco de dados distribuído e hierárquico. Nenhum servidor conhece todos os nomes; cada um cuida de uma parte (uma zona) e sabe a quem perguntar para o resto.

Quem participa de uma consulta

Papel	Função
Cliente (resolvedor stub)	o computador que precisa do endereço; pergunta ao servidor de DNS configurado
Resolvedor recursivo	servidor que faz o trabalho de descobrir a resposta e guarda em cache (em geral, o do provedor ou da rede)
Servidores raiz	indicam quem cuida de cada domínio de nível superior
Servidores de domínio de nível superior (TLD)	cuidam de .br, .com e semelhantes e indicam os servidores do domínio consultado
Servidor autoritativo	detém a resposta oficial sobre o domínio

Passo a passo de uma consulta por www.exemplo.com.br

1. O navegador verifica se já tem o endereço em memória; o sistema operacional também mantém cache.
2. Sem resposta, o computador pergunta ao resolvedor recursivo.
3. Se o resolvedor não tiver em cache, ele consulta um servidor raiz, que o encaminha ao servidor responsável por .br.
4. O servidor de .br indica o servidor responsável por com.br, e este indica o servidor autoritativo de exemplo.com.br.
5. O servidor autoritativo responde com o endereço.
6. O resolvedor devolve a resposta ao cliente e guarda em cache pelo tempo indicado no TTL (tempo de vida) do registro.

O cache torna as consultas seguintes quase imediatas, e o TTL explica por que uma mudança de endereço de um site leva algum tempo para “propagar”: caches espalhados continuam respondendo o valor antigo até o TTL expirar.

Uma consulta é recursiva quando o cliente pede ao servidor que traga a resposta final; é iterativa quando o servidor responde apenas com a indicação de quem consultar em seguida. Na prática, o cliente faz consulta recursiva ao resolvedor, e o resolvedor faz consultas iterativas à hierarquia.

Registros mais cobrados

Tipo	Função
A	associa nome a endereço IPv4
AAAA	associa nome a endereço IPv6
CNAME	apelido: aponta um nome para outro nome
MX	servidor de e-mail do domínio, com prioridade
NS	servidores de nomes autoritativos da zona
PTR	resolução reversa: endereço para nome
TXT	texto livre; usado em verificações de domínio e em mecanismos de autenticação de e-mail
SOA	dados da zona, como servidor primário e parâmetros de atualização

No MX, vale o menor número de prioridade primeiro: o servidor com prioridade 10 é tentado antes do de prioridade 20. O CNAME não pode coexistir com outros registros no mesmo nome, e um MX não deve apontar para um CNAME.

O DNS usa, em geral, a porta 53, com UDP para consultas comuns e TCP para respostas grandes e transferência de zona entre servidores.

Segurança no DNS

Ataques clássicos: envenenamento de cache (inserir resposta falsa no cache do resolvedor, desviando usuários para sites falsos) e sequestro de DNS. A extensão DNSSEC acrescenta assinaturas digitais às respostas para que o resolvedor verifique a autenticidade; ela garante origem e integridade, mas não cifra a consulta.

DHCP: configuração automática

O DHCP entrega a um equipamento, sem configuração manual, o endereço IP, a máscara, o gateway padrão e os servidores DNS, entre outros parâmetros. Usa UDP: porta 67 no servidor e 68 no cliente.

As quatro mensagens: DORA

Etapa	Mensagem	Quem envia	Para quem
D	Discover (descoberta)	cliente	broadcast: “há algum servidor DHCP?”
O	Offer (oferta)	servidor	propõe um endereço
R	Request (requisição)	cliente	aceita a oferta e pede o endereço
A	Acknowledge (confirmação)	servidor	confirma e informa o tempo de concessão

A primeira mensagem é um broadcast porque o cliente ainda não tem endereço nem sabe quem é o servidor. Por isso o DHCP funciona dentro de um domínio de broadcast; para atender várias redes, os roteadores usam um agente de retransmissão (relay) que encaminha as mensagens ao servidor.

Concessão (lease)

O endereço é emprestado por um tempo. Antes de acabar, o cliente tenta renovar. Se o tempo vence sem renovação, o endereço volta ao conjunto. A concessão pode ser automática, dinâmica ou por reserva: o servidor associa o endereço físico (MAC) de um equipamento a um IP fixo sempre entregue a ele. Reserva não é o mesmo que configurar IP estático no equipamento.

Endereço automático de emergência

Quando não encontra servidor DHCP, um computador pode atribuir a si mesmo um endereço da faixa 169.254.0.0/16 (endereço de link local, conhecido no Windows como APIPA). Esse endereço permite conversar apenas com a rede local. Ver um 169.254... no computador é pista clássica de que o DHCP falhou.

NAT e PAT: compartilhando endereços

O NAT (tradução de endereços de rede) troca os endereços de pacotes ao passar por um roteador ou firewall. O principal uso é permitir que uma rede com endereços privados acesse a internet usando um ou poucos endereços públicos.

Faixas privadas definidas pela norma de endereçamento privado, conferidas por programa:

Faixa	Intervalo
10.0.0.0/8	10.0.0.0 a 10.255.255.255
172.16.0.0/12	172.16.0.0 a 172.31.255.255
192.168.0.0/16	192.168.0.0 a 192.168.255.255

Pegadinhas de faixa: 172.32.0.1 e 192.169.0.1 não são privados (estão logo fora das faixas); 127.0.0.1 é loopback, e 169.254.x.x é link local, nenhum dos dois privado no sentido da norma. Endereços privados não são roteados na internet pública.

Tipos

• NAT estático: um endereço privado corresponde a um público fixo, um para um.
• NAT dinâmico: usa um conjunto de endereços públicos, atribuídos conforme a demanda.
• PAT (ou NAPT, “sobrecarga”): muitos endereços privados compartilham um único endereço público, diferenciados pela porta. É o que acontece na rede doméstica. O roteador mantém uma tabela de traduções: quando a resposta chega para uma porta, ele sabe a qual equipamento interno entregar.

Consequência: de fora, só se enxerga o endereço público; os equipamentos internos ficam “escondidos”, o que dificulta conexões iniciadas de fora para dentro. Para isso existe o encaminhamento de portas (port forwarding). O NAT não é um firewall: o efeito de esconder endereços é colateral, e não substitui regras de segurança. O IPv6 foi projetado com espaço de endereços suficiente para dispensar o NAT como solução de escassez.

Quem faz o quê: quadro de revisão

Serviço	Pergunta que responde	Porta
DNS	qual o endereço deste nome?	53
DHCP	qual endereço e configuração eu uso?	67 e 68 (UDP)
NAT/PAT	como a rede privada sai para a internet?	não tem porta própria; traduz endereços e portas

Erros comuns

• Dizer que o DNS armazena as páginas: ele só traduz nomes em endereços.
• Confundir DNS (nome para IP) com DHCP (entrega o IP).
• Achar que o Discover do DHCP é enviado a um servidor conhecido: é broadcast.
• Achar que 172.32.x.x é privado.
• Dizer que o NAT criptografa o tráfego.
• Esquecer que o DNSSEC autentica, mas não cifra.

Fontes e atualização

Não há norma oficial brasileira sobre estes protocolos; o conteúdo segue os padrões da internet e a literatura de redes. As faixas privadas e o pertencimento de endereços citados foram conferidos por cálculo executado. Detalhes de implementação mudam entre fabricantes: confira o edital.

Próximos passos

• Calcule sub-redes em VLSM e sumarização de rotas.
• Entenda as camadas em modelo OSI e TCP/IP.
• Reforce a defesa em firewall, IDS/IPS, VPN e MFA.