와이어샤크 DNS 요청 및 응답 분석

DNS 요청 및 응답 분석

Filter = dns

• www.naver.com 접근

요청 패킷

분석

• 클라이언트 IP (172.30.1.54), DNS 서버 IP (168.126.63.1)
• UDP 사용 DNS 포트는 53

• Transaction ID : DNS 요청, 응답을 구별하기 위한 식별값. 0xcf85
• Flags : DNS 패킷의 성향
  • Response : 현재 패킷이 요청(0) 인지 응답(1) 인지 구분
  • Opcode : 쿼리 유형. standard query 를 사용
  • Truncated : 응답 절삭 여부 (데이터가 큰 경우 발생). 절삭 없음
  • Recursion desired : 재귀 사용 여부. 재귀 사용
  • Z : 예약어..
  • Non-authenticated data : DNSSEC 검증 여부. 미검증
• Questions : 질문 수. 보통 요청 패킷 당 하나
• Answer RRs, Authority RRs, Additional RRs : 해당 세션 개수
• Queries : 질의 내용
  • Name : DNS에 요청한 도메인의 이름. pstatic은 네이버의 이미지 데이터 관련 서버 주소라고 합니다.
  • Type : 쿼리의 유형을 나타내는 필드. A (호스트 주소)
  • Class : 네트워크 클래스 타입. IN (Internet 리소스 레코드)

응답 패킷

분석

• 요청 클라이언트의 정보가 이번엔 Dst 로 설정되었다.
• 이번에도 UDP 사용

• Transaction ID : 요청 패킷과 동일
• Response : 응답 메시지
• Opcode : 요청 패킷과 동일
• Authoritative : DNS 서버가 신뢰할만한지 . 도메인에 대해 판단할 권한이 없음
• Recursion Available : 재귀 사용 여부. 가능
• Answer authenticated : 데이터 신뢰여부. 미검증
• Reply code : 오류 여부. 0 (오류 없음)
• Answers : 쿼리에 대한 응답
  
• TTL : DNS에서 캐싱하고 있는 시간
• Data length : Resource Data의 길이.
• Rdata : Resource Data. 실제 응답

💡
Data length 가 Rdata 도메인 길이보다 2 더 크다.
이는 길이 계산 시 레이블 필드 수와 NULL을 기록하기 때문.
ex) www.naver.com 이라면
레이블은 www, naver, com 으로 11
레이블의 수는 3
NULL 을 위한 1
결과 Length 는 15