Zmiana serwerów nazw i rekordy glue

Moduł 2: Serwery nazw i strefy · Czas czytania: 8 min

Cel lekcji: Po tej lekcji będą Państwo potrafili bezpiecznie zmienić serwery nazw, wyjaśnić czym jest rekord glue oraz rozpoznać, dlaczego rejestr może odmówić wykonania zmiany.

Kluczowe pojęcia: zmiana serwerów nazw przez rejestratora, rekord glue, własne serwery nazw (np. ns1.example.com), kontrola predelegacyjna wykonywana przez rejestr, lame delegation

Kiedy zmienia się serwery nazw?

Serwery nazw domeny zmienia się wtedy, gdy zarządzanie DNS ma zostać przeniesione do innego podmiotu. Na przykład:

• przechodzą Państwo do innego dostawcy hostingu i chcą, aby to on zarządzał DNS;
• chcą Państwo skorzystać z usługi DNS takiej jak Cloudflare;
• platforma do tworzenia stron internetowych prosi o przekierowanie serwerów nazw do niej;
• wracają Państwo do domyślnych serwerów nazw swojego rejestratora.

To duży krok: po zmianie nowy podmiot określa wszystkie rekordy Państwa domeny, w tym te dotyczące poczty e-mail. Jeśli chcą Państwo przenieść tylko stronę internetową lub tylko pocztę, zazwyczaj nie trzeba zmieniać serwerów nazw. Wystarczy wtedy dostosować kilka rekordów (moduł 3 i 4).

Bezpieczna kolejność działań

1. Proszę zrobić listę lub kopię zapasową obecnych rekordów. Wiele paneli ma przycisk umożliwiający eksport strefy lub wykonanie kopii zapasowej.
2. Proszę przygotować strefę u nowego dostawcy. Należy przenieść wszystkie potrzebne rekordy: stronę internetową (A, AAAA, www), pocztę (MX oraz rekord A serwera pocztowego, jeśli znajduje się on w obrębie Państwa domeny), SPF, DKIM, DMARC, rekordy weryfikacyjne, subdomeny.

3. Proszę sprawdzić nową strefę, odpytując bezpośrednio nowe serwery nazw, jeszcze zanim nastąpi zmiana. Na przykład:

   dig @ns1.newprovider.example example.com MX

   Jeśli nowe serwery nazw odpowiadają prawidłowymi rekordami, strefa jest gotowa.

4. Czy mają Państwo włączone DNSSEC? Wówczas proszę najpierw ustalić, jak zostaną przeniesione klucze. Można wyłączyć DNSSEC i poczekać, aż stare dane DS znikną z pamięci podręcznych, albo przekazać nowe dane DS równocześnie. W przeciwnym razie łańcuch zaufania zostanie przerwany i domena stanie się niedostępna dla resolverów walidujących (lekcja 8.1).
5. Proszę zmienić serwery nazw u swojego rejestratora. Należy podać co najmniej dwa. Rejestrator przekazuje je do rejestru.
6. Proszę poczekać i sprawdzić. Resolvery pamiętają stare serwery nazw aż do upływu TTL delegacji. W przypadku .nl jest to godzina, w przypadku .com dwa dni. Z reguły należy liczyć się z czasem od kilku godzin do doby. Przez ten czas stara strefa powinna pozostać niezmieniona.

Dlaczego rejestr może odmówić zmiany serwerów nazw?

Niektóre rejestry sprawdzają serwery nazw przed wprowadzeniem zmiany. Nazywa się to kontrolą predelegacyjną. DENIC (.de) jest z tego znane: jeśli nowe serwery nazw jeszcze nie znają Państwa domeny albo odpowiedzi serwerów nazw nie są ze sobą zgodne, zmiana zostaje odrzucona. Również inne rejestry mogą stosować takie kontrole lub mieć zasady dotyczące liczby serwerów nazw.

Rozwiązanie jest zawsze takie samo: najpierw należy przygotować strefę u nowego dostawcy, a dopiero potem spróbować ponownie. To krok 2 bezpiecznej kolejności działań. Dla .nl serwery nazw można wcześniej przetestować za pomocą publicznego narzędzia testowego, takiego jak Zonemaster.

Lame delegation

Jeśli serwery nazw wskazane w rejestrze prowadzą do serwerów, które nie znają Państwa domeny, nazywa się to lame delegation (błędną delegacją). Resolver zostaje przekierowany do serwera, który nie ma odpowiedzi. Skutek: domena nie działa wcale albo działa tylko czasami (jeśli jeden z serwerów nazw jest poprawny).

Dzieje się tak na przykład, gdy:

• serwery nazw zostały zmienione, zanim nowy dostawca miał gotową strefę;
• doszło do rezygnacji ze starego dostawcy, który usunął strefę, podczas gdy serwery nazw nadal na niego wskazują;
• w nazwie serwera nazw znajduje się literówka.

Sprawdza się to, odpytując każdy serwer nazw osobno. Każdy serwer nazw powinien udzielić odpowiedzi z flagą „authoritative” (w dig widoczna jest flaga aa).

Własne serwery nazw i rekordy glue

Można również używać serwerów nazw z nazwą w obrębie własnej domeny, na przykład ns1.example.com i ns2.example.com. Nazywa się to własnymi serwerami nazw lub vanity nameservers. Powstaje wtedy problem jajka i kury:

• aby wyszukać example.com, resolver musi przejść do ns1.example.com;
• ale aby znaleźć adres IP serwera ns1.example.com, musi zajrzeć do strefy example.com.

Dlatego rejestr umieszcza obok nazwy serwera nazw także adres IP w delegacji. Ten dodatkowy adres nazywany jest rekordem glue (rekordem klejącym):

; in de zone van .com, bij de registry (Verisign)
example.com.       NS  ns1.example.com.
example.com.       NS  ns2.example.com.
ns1.example.com.   A   192.0.2.53      ; glue
ns2.example.com.   A   198.51.100.53   ; glue

Glue jest potrzebny tylko wtedy, gdy serwer nazw znajduje się w obrębie samej domeny (lub w obrębie domeny zależnej od tej samej delegacji). Jeśli dla example.com używają Państwo ns1.hosting.example, glue nie jest potrzebny: ten adres znajduje się w strefie hosting.example.

Glue ustawia się zazwyczaj u rejestratora, często pod przyciskiem takim jak „Zarejestruj własny serwer nazw”, „Child nameserver” lub „Utwórz host”. Jeśli adres IP Państwa serwera nazw ulegnie zmianie, trzeba również zaktualizować glue u rejestru. W przeciwnym razie resolvery będą wskazywać na nieaktualny adres.

Dla większości abonentów domen własne serwery nazw nie są potrzebne. Są one wykorzystywane głównie przez firmy hostingowe i resellerów, którzy chcą pokazywać swoją własną nazwę.

W praktyce: tak wygląda to w panelu

W Moje WebOké należy przejść do Moje domeny, kliknąć domenę, a następnie kliknąć ikonę ołówka na karcie Serwery nazw. Trzeba podać co najmniej dwa serwery nazw. Własne serwery nazw tworzy się tam najpierw za pomocą przycisku do rejestracji własnego serwera nazw (glue). U innych rejestratorów nazywa się to często „Zmiana serwerów nazw”, „Serwery DNS” lub „Custom nameservers”, a dla glue „Child nameservers” lub „Rekordy host”; pola są takie same.

Podsumowanie

• Zmieniając serwery nazw, przenoszą Państwo zarządzanie wszystkimi rekordami domeny do innego podmiotu.
• Bezpieczna kolejność: kopia zapasowa, przygotowanie strefy, przetestowanie nowych serwerów nazw, uregulowanie DNSSEC, dopiero potem zmiana.
• Niektóre rejestry (np. DENIC) odmawiają zmiany, jeśli nowe serwery nazw nie mają jeszcze gotowej strefy.
• Lame delegation: rejestr wskazuje na serwery nazw, które nie znają domeny.
• Rekordy glue to adresy IP przechowywane w rejestrze dla serwerów nazw znajdujących się w obrębie własnej domeny.

Quiz

Zadanie

Zadanie Z2.3: Czy wszystkie serwery nazw są takie same? Proszę wyszukać serwery nazw domeny sidn.nl (strony SIDN, rejestru domeny .nl w Holandii). Następnie proszę odpytać każdy serwer nazw osobno o rekord SOA dla sidn.nl (dig @ns1.sidn.nl sidn.nl SOA, lub narzędzie online, w którym można wybrać serwer). Proszę wpisać numer seryjny dla każdego serwera nazw oraz zaznaczyć, czy są one zgodne.

Dalsza lektura

Poniższe artykuły opisują sytuację w WebOké. U innych rejestratorów działa to w podobny sposób.

• Podręcznik WebOké 5.3: Zmiana serwerów nazw
• Podręcznik WebOké 2.4: Konfiguracja domeny: serwery nazw, powiązanie z pakietem i właściciel
• Korzystanie z własnych lub zewnętrznych serwerów nazw (np. Cloudflare) dla Państwa domeny
• Testowanie serwerów nazw, również dla domeny .nl