Moduł 5 · 5.3
NS, SOA i inne rekordy
Moduł 5: Pozostałe rekordy · Czas czytania: 7 min
Cel lekcji: Po tej lekcji będą Państwo rozpoznawać pozostałe rekordy spotykane w strefie i wiedzieć, że zazwyczaj nie trzeba ich ruszać.
Kluczowe pojęcia: NS w strefie, SOA (numer seryjny, refresh, retry, expire, minimum), TLSA (DANE), HTTPS i SVCB, DS i DNSKEY
Rekordy, które po prostu tam są
Gdy otworzą Państwo ekran DNS domeny, obok A, CNAME, MX i TXT często widać jeszcze kilka rekordów, których sami Państwo nie utworzyli. Większość z nich jest tam z dobrego powodu i należy je zostawić w spokoju. W tej lekcji nauczą się Państwo je rozpoznawać, aby się nimi nie przestraszyć i przypadkiem ich nie usunąć.
| Rekord | Co robi | Samodzielna zmiana? |
|---|---|---|
| NS | Które serwery nazw zarządzają strefą | Rzadko |
| SOA | Techniczny nagłówek strefy | Nie, zajmuje się tym panel |
| TLSA | Odcisk palca certyfikatu (DANE) | Tylko przy korzystaniu z DANE |
| HTTPS / SVCB | Wskazówki dla szybszego, bezpiecznego połączenia | Zwykle zajmuje się tym dostawca DNS |
| DS / DNSKEY | Elementy DNSSEC | Nie, przez funkcję DNSSEC |
| PTR | Z adresu IP z powrotem do nazwy | Nie we własnej strefie (lekcja 4.6) |
NS: serwery nazw we własnej strefie
W lekcji 2.1 widzieli już Państwo, że rejestr zapisuje, jakie serwery nazw ma dana domena. Te same serwery nazw znajdują się również we własnej strefie jako rekordy NS:
example.com. 3600 IN NS ns1.hosting.example.
example.com. 3600 IN NS ns2.hosting.example.Obie listy muszą się pokrywać. Zmiana rekordów NS w strefie nie zmienia niczego u rejestratora: serwery nazw zmienia się u rejestratora (lekcja 2.3). Rekordy NS gołej domeny należy więc zostawić bez zmian.
Rekord NS na subdomenie to jednak coś, co można utworzyć samodzielnie. W ten sposób przekazuje się zarządzanie daną subdomeną innemu podmiotowi:
lab.example.com. 3600 IN NS ns1.otherprovider.example.Wszystko pod lab.example.com jest wtedy odpytywane u tego innego serwera nazw. Nazywa się to delegacją, dokładnie to samo, co rejestr robi dla całej domeny.
SOA: techniczny nagłówek
Każda strefa ma dokładnie jeden rekord SOA (Start of Authority), na gołej domenie. Wiele paneli nawet go nie pokazuje. Wygląda on tak:
example.com. 3600 IN SOA ns1.hosting.example. hostmaster.example.com. (
2026110701 ; numer seryjny
14400 ; refresh
3600 ; retry
1209600 ; expire
300 ) ; minimum| Pole | Znaczenie |
|---|---|
ns1.hosting.example. | Główny serwer nazw strefy |
hostmaster.example.com. | Adres e-mail administratora, z kropką zamiast @: hostmaster@example.com |
| Numer seryjny | Numer wersji. Przy każdej zmianie rośnie. Często w formacie rok-miesiąc-dzień-numer kolejny. |
| Refresh, retry, expire | Jak często dodatkowe serwery nazw sprawdzają u serwera głównego, czy jest nowa wersja, jak szybko próbują ponownie, oraz kiedy przestają odpowiadać, jeśli serwer główny jest zbyt długo niedostępny |
| Minimum | Jak długo resolver może zapamiętać, że dana nazwa nie istnieje (pamięć podręczna negatywna, RFC 2308). Więcej na ten temat w lekcji 6.2. |
Numer seryjny jest przydatny przy szukaniu problemów. Jeśli dwa serwery nazw tej samej domeny podają inny numer seryjny, mają różne wersje strefy. Jeden może już zwracać nowy rekord, drugi wciąż stary. Za pomocą narzędzia do sprawdzania (lekcja 8.2) można sprawdzić numer seryjny dla każdego serwera nazw osobno.
TLSA: DANE dla poczty
Rekord TLSA (RFC 6698) zawiera odcisk palca certyfikatu serwera. Nazywa się to DANE. Serwer pocztowy wysyłający wiadomość może wtedy sprawdzić, czy rzeczywiście rozmawia z Państwa serwerem pocztowym, a nie z intruzem. DANE działa tylko wtedy, gdy domena ma włączony DNSSEC (lekcja 8.1). Rekordy TLSA widać pod nazwami takimi jak:
_25._tcp.mail.example.com. IN TLSA 3 1 1 <długi kod hex>Oznacza to: port 25, protokół tcp, serwer mail.example.com. Rekord TLSA, który nie pasuje już do certyfikatu (na przykład po odnowieniu z nowym kluczem), powoduje, że rygorystyczni nadawcy odrzucają pocztę. Należy go tworzyć tylko wtedy, gdy panel utrzymuje go automatycznie.
HTTPS i SVCB: wskazówki dla przeglądarki
Rekord HTTPS i jego ogólniejszy odpowiednik SVCB (RFC 9460) są nowością. Podają one przeglądarce z wyprzedzeniem informacje, na przykład że witryna obsługuje HTTP/3 i na jakich adresach działa. Dzięki temu pierwsze połączenie jest nieco szybsze.
example.com. 300 IN HTTPS 1 . alpn="h3,h2" ipv4hint=192.0.2.10Uwaga: mimo nazwy rekord HTTPS nie ma nic wspólnego z certyfikatem SSL. Bez rekordu HTTPS protokół https działa normalnie. Duzi dostawcy DNS z własną siecią często ustawiają ten rekord automatycznie. Samodzielne tworzenie rzadko jest konieczne.
DS i DNSKEY: DNSSEC
Rekordy DNSKEY zawierają klucze publiczne, którymi podpisana jest strefa. Rekord DS to odcisk palca tego klucza i nie znajduje się we własnej strefie, lecz u rejestru. Razem tworzą łańcuch zaufania DNSSEC. Nie zarządza się nimi ręcznie, lecz przez funkcję DNSSEC u dostawcy DNS. Lekcja 8.1 wyjaśnia, jak to działa i co może pójść nie tak przy transferze domeny.
Podsumowanie
- Rekordy NS na gołej domenie należy zostawić; serwery nazw zmienia się u rejestratora. Rekord NS na subdomenie przekazuje zarządzanie nią innemu podmiotowi.
- Rekord SOA to nagłówek strefy, z numerem seryjnym, który rośnie przy każdej zmianie. Pole minimum określa pamięć podręczną negatywną.
- TLSA (DANE) łączy certyfikat z serwerem i działa tylko z DNSSEC.
- Rekordy HTTPS i SVCB to wskazówki dla przeglądarki i nie mają nic wspólnego z certyfikatem.
- DS i DNSKEY należą do DNSSEC i zarządza się nimi przez funkcję DNSSEC.
Quiz
Zadanie
Zadanie Z5.3: SOA: administrator i pamięć podręczna negatywna. Proszę wyszukać rekord SOA domeny wikipedia.org. Proszę wpisać adres e-mail administratora (drugie pole, z @ zamiast pierwszej kropki) oraz wartość ostatniego pola (minimum, pamięć podręczna negatywna) w sekundach.
Przy tej lekcji nie ma zadania konfiguracyjnego: te rekordy rzadko tworzy się samodzielnie.
Dalsza lektura
Poniższe artykuły opisują panele WebOké; w innych panelach działanie jest podobne.