Le port TCP 53 n’est pas le passage obligé auquel on pense : son ouverture ne se justifie que lorsque les limites de l’UDP sont atteintes ou si des protocoles avancés comme DNSSEC ou DNS over TLS entrent en jeu. Pourtant, certains géants du DNS public s’appuient quasi systématiquement sur ce canal, alors que de nombreux serveurs locaux mettent en place des restrictions, adaptant leur politique à la source des requêtes.
Les méthodes de sécurisation divergent tout autant : inspection du trafic, lutte contre le spoofing, gestion des évolutions du protocole… Ce sont ces choix, loin des projecteurs, qui déterminent la résistance du système face aux attaques et à la surveillance réseau.
Comprendre le rôle du port TCP dans le fonctionnement du DNS
Le DNS est conçu, par défaut, pour fonctionner vite et sans fioritures grâce à l’UDP. Mais quand une réponse DNS dépasse 512 octets, le protocole ne suit plus. C’est là que le TCP entre en scène, imposé par la RFC 1035, pour garantir que chaque information, aussi volumineuse soit-elle, arrive sans accroc. Ce n’est pas un simple détail technique : l’usage du TCP modifie en profondeur la dynamique de l’échange DNS.
Dans la pratique, le TCP change la donne. Là où l’UDP se contente d’expédier les paquets à toute vitesse, le TCP rassemble, trie, vérifie, assure la réception. Pour les transferts de zones, la validation DNSSEC ou les requêtes complexes, cette fiabilité n’a pas d’équivalent. D’ailleurs, sur des infrastructures critiques, le TCP s’impose dès que la sécurité ou la taille des données l’exige.
Ce choix de protocole a aussi des conséquences bien concrètes sur la latence et les performances. Des mesures comme msg size rcvd ou query time fluctuent nettement selon que l’on utilise l’UDP ou le TCP. Pour certains serveurs TLD, le traitement de paramètres comme flags query answer ou status noerror flags peut s’avérer nettement plus efficace via le TCP, surtout lorsque les requêtes se complexifient.
Dans un réseau local, le paramétrage du serveur DNS conditionne l’ouverture ou non du port TCP. Les administrateurs font des choix différents : certains préfèrent fermer ce port pour limiter la surface d’attaque, d’autres l’ouvrent pour des questions de compatibilité ou de support de protocoles sécurisés comme DNS over TLS. Cette diversité de pratiques illustre à quel point le port TCP occupe une place centrale mais nuancée dans l’écosystème DNS.
Résolveurs DNS publics et locaux : quelles différences pour la sécurité et la confidentialité ?
Le choix de son résolveur DNS pèse lourd sur la confidentialité du trafic réseau. Les services publics comme Google Public DNS ou Cloudflare s’appuient sur des infrastructures dispersées à l’international, capables de gérer d’énormes volumes tout en supportant sans faillir le port TCP et les protocoles récents tels que DNS over TLS et DNS over HTTPS. L’avantage des transactions chiffrées saute aux yeux : le contenu des requêtes est protégé, la surveillance passive devient bien plus difficile. En contrepartie, chaque résolution DNS sort de la sphère privée et passe par des serveurs étrangers, avec les implications légales et techniques que cela suppose.
Du côté des réseaux locaux, l’architecture est tout autre. Le résolveur DNS local, fourni par le DHCP ou géré sur place, permet un contrôle serré sur le trafic. L’équipe IT peut décider précisément ce qui transite, affiner les filtres, surveiller les accès, bloquer certains domaines. Pour qui souhaite garder la main sur la confidentialité, ces possibilités font la différence.
Voici les principales différences qui méritent d’être pesées :
- Les résolveurs publics privilégient la disponibilité et la solidité de l’accès, mais au prix d’une exposition accrue des données personnelles à des infrastructures extérieures.
- Les résolveurs locaux permettent une maîtrise directe, à condition d’assurer une maintenance et un suivi sérieux pour conserver un bon niveau de sécurité.
La gestion du filtrage DNS et la protection de la vie privée prennent toute leur ampleur quand il s’agit de décider qui, du réseau local ou d’un service public, traitera les requêtes sur le port TCP. L’équilibre entre facilité d’utilisation et souveraineté sur ses données reste un enjeu de fond pour toutes les architectures réseau.
