Essa é uma pergunta muito antiga, mas eu tive muitas das mesmas perguntas para descobrir como a Internet funciona . Assim como as outras respostas, os livros sobre redes oferecem uma visão geral do BGP e do DNS, mas ainda me deixam confuso. Por exemplo, a.root-servers.net a m.root-servers.net são fornecidos como servidores raiz, mas como um serviço DNS sabe onde encontrar esses servidores se eles não podem usar o DNS eles mesmos.
Os princípios básicos de IP, sub-rede, DNS etc. são assumidos como conhecidos por esta resposta. Estou abordando "lacunas" que eu, e provavelmente o interlocutor, tenho sobre como a Internet funciona. De modo algum sou um especialista, mas esse é meu entendimento das lacunas.
Endereços IP
A primeira coisa a observar é que, quando a Internet começou como ARPANET, todo mundo sabia que todo mundo e as tabelas de roteamento para endereços IP eram codificadas manualmente. Presumo que o processo de atribuição de IPs tenha sido realizado por telefone. Como a Internet ficou grande demais, o BGP foi usado por várias redes (AS) para anunciar que eles tinham IPs públicos ou poderiam acessar um IP público através do seu AS para outro AS. Havia a confiança de que um AS não anunciaria um IP que não possuía.
Hoje, não há tanta confiança. Em vez disso, os ISPs podem baixar e autenticar as alocações de IP para cada AS da IANA e das autoridades regionais. Esses downloads agora são autenticados por meio de criptografia de chave pública. Portanto, quando a IANA "atribui um endereço IP", eles estão alterando seu registro (ou realmente a autoridade regional altera seu registro). Todos os outros AS podem fazer o download e autenticar seus registros.
Esses registros são importantes porque os ISPs não podem aceitar a palavra de outros ISPs de que eles têm os endereços IP. Os ISPs podem comparar o anúncio BGP com os registros IP autenticados. Se qualquer anúncio do BGP mostrar o último AS como um AS diferente do que está no registro autenticado da IANA e do RIR, o anúncio do BGP não altera seu próprio roteamento.
Mais comumente, um ISP ou AS desonesto pode anunciar que possui uma rota através do AS que não possui. O AS1 possui um IP registrado e o AS5 atualmente usa AS5 -> AS4 -> AS3 -> AS1 -> IP. O AS2 anuncia ao AS5 uma rota de AS5 -> AS2 -> AS1 -> IP. Exceto que o AS2 não tem realmente uma conexão com o AS1. Pode apenas perder os pacotes, talvez frustrar os clientes de hospedagem do AS1. Ou o AS2 poderia ser uma rede de pequena empresa com um acordo de hospedagem múltipla com o AS5 e o AS1. Seu roteador está configurado incorretamente e anuncia um caminho através de uma rede de pequena empresa. Quase todos os ISPs jogam fora esses anúncios de seus clientes BGP e apenas transmitem anúncios BGP encerrados.
Provavelmente, você tem o caso do Paquistão tentando desligar o YouTube no Paquistão por meio de um seqüestro de IP, e também o YouTube fora do Paquistão, já que a AS fora do Paquistão assumiu que seus anúncios do BGP estavam corretos.
No final, não há uma defesa perfeita contra esse seqüestro de IP. Na maioria dos países como os EUA, esse abuso de BGP pode ser punido como quebra de contrato, e outros ISPs interromperão as conexões de pares com esse AS, se necessário. Um ISP também pode desconsiderar todo o equipamento IANA e RIR e redirecionar os endereços IP para seus próprios servidores. Porém, isso não funcionará em sites https, assumindo que o ISP não possua as chaves privadas de nenhuma autoridade de certificação. Há muito pouco a ganhar com isso economicamente. Isso só acontece com governos autoritários, como o Egito, que recentemente desligou todos os anúncios do BGP para seus ISPs de fora do país.
Servidores DNS
O DNS é um pouco mais simples quando as tabelas IP estão corretas. Os servidores raiz são todos os endereços IP codificados no código do servidor DNS. a.root-servers.net é 198.41.0.4 e o endereço IP é anycast dentro de um AS. No caso de a.root-servers.net, o AS é a Verisign e existem cinco sites diferentes. Nos EUA, os dois sites são Nova York e Los Angeles. Qualquer transmissão é como se você tivesse um endereço da 123 Main Street e dissesse "Não importa em que cidade você está, vá para a 123 Main Street e você encontrará uma das minhas empresas". A 123 Main Street, em Nova York e Los Angeles, dará a mesma resposta para todos os domínios de nível superior. O AS, neste caso a Verisign, descobre internamente qual servidor tem menos saltos através do OSPF, BGP interno e outros protocolos de roteamento. Portanto, um roteador em Denver pode ir para LA enquanto um roteador em Chicago vai para Nova York.
Um dos servidores raiz fornece qual endereço IP para o domínio de nível superior. Em seguida, esse domínio fornece o domínio para yoursite.com. Os registradores realmente têm um contrato com quem executa o domínio de nível superior. Portanto, se o domínio de nível superior atualmente não tiver um registro para yoursite.com, ele poderá acessar para adicionar um registro ao servidor quem é. Em seguida, com o acesso que o registrador forneceu aos registros DNS do yoursite.com, você alterou os registros no servidor DNS para acessar o seu endereço IP.
Como o DNS depende de vários endereços IP no lugar certo, você tem o mesmo problema de antes com o AS autenticando o registro IP e depois as atribuições de BGP. Essa é a peça chave para um site http. Https tem a proteção adicional de certificados. Portanto, um ISP não pode redirecionar solicitações para seus próprios servidores raiz e servidores de domínio de nível superior para fornecer seu próprio IP para, por exemplo, citibank.com. Se o fizeram, o endereço IP fornecido ao usuário será um endereço IP diferente, mas o servidor não terá a chave privada do Citibank.