Система корневых (root) серверов
В основе первоначально созданной DNS находилась система корневых (root) серверов, состоявшая из первичного (primary) сервера a.root-servers.net и растущего числа реплик (secondary), с именами b.root-servers.net, c.root-servers.net и т.д. до m.root-servers.net. – всего 12 штук. Каждый сервер управлялся отдельной организацией-оператором, который нес за него ответственность. Позднее был создан «скрытый» мастер-сервер, и a.root-servers.net стал одним 13 равноправных корневых серверов, управляемых 12 независимыми организациями, различными по роду деятельности, организации и географии (их список доступен на сайте www.root-servers.org).
С целью повышения производительности и устойчивости системы и в ответ на взрывной рост интернета (и количества обращений к доменам), с 2003 года была внедрена технология anycast, позволившая операторам сделать множество зеркал корневых серверов, находящихся ближе к пользователям. В настоящее время число таких зеркал составляет несколько сотен.
Корневые серверы DNS являются критическим компонентом системы, поскольку обеспечивают доступ к корневой зоне DNS. Эту зону называют еще зоной нулевого уровня, и адресуют одним символом «.» (точка). Корневая зона содержит информацию обо всех доменах верхнего (первого) уровня, называемых также просто «зонами»: национальных доменах (например .ru), общих доменах (например .org .com) и спонсированных доменах (например .xxx ;). Эта информация указывает клиенту на какие серверы DNS отправить запрос для разрешения полного доменного имени. Если информация о запрашиваемом домене не была ранее сохранен в кэше клиента, то его запрос начинается с обращения к корневому серверу, и будет обработан ближайшим зеркалом.
Если требуется изменить адресацию в корневой зоне, например, изменить состав серверов, обслуживающих домен, администратор домена верхнего уровня посылает подписанный ЭЦП запрос, который тщательно проверяется (сейчас эту проверку осуществляет IANA) и авторизуется специальным аудитором. Авторизованный запрос передается оператору, который вправе вносить изменения на скрытом мастер-сервере DNS (сейчас это VeriSign) , а затем распространяется по защищённому протоколу на все корневые сервера-реплики.