NS, SOA și alte înregistrări

Modulul 5: Alte înregistrări · Timp de citire: 7 minute

Obiectiv de învățare: După această lecție veți recunoaște celelalte înregistrări pe care le întâlniți într-o zonă și veți ști că, de regulă, nu trebuie să le atingeți.

Concepte-cheie: NS în zonă, SOA (număr de serie, refresh, retry, expire, minimum), TLSA (DANE), HTTPS și SVCB, DS și DNSKEY

Înregistrări care pur și simplu există

Dacă deschideți ecranul DNS al unui domeniu, pe lângă A, CNAME, MX și TXT veți vedea adesea câteva înregistrări pe care nu le-ați creat dumneavoastră înșivă. Majoritatea există dintr-un motiv întemeiat și le lăsați așa cum sunt. În această lecție învățați să le recunoașteți, ca să nu vă sperie și să nu le ștergeți din greșeală.

NS: serverele de nume din propria zonă

În lecția 2.1 ați văzut că registrul stabilește ce servere de nume are domeniul dumneavoastră. Aceleași servere de nume apar și în propria zonă, sub formă de înregistrări NS:

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

Cele două liste trebuie să coincidă. Dacă modificați înregistrările NS din zona dumneavoastră, la registru nu se schimbă nimic: serverele de nume se modifică la registrar (lecția 2.3). Lăsați deci așa cum sunt înregistrările NS ale domeniului rădăcină (apex).

O înregistrare NS pe un subdomeniu este însă ceva ce puteți crea chiar dumneavoastră. Astfel încredințați administrarea acelui subdomeniu unei alte părți:

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Tot ce se află sub lab.example.com va fi atunci interogat la acel alt server de nume. Aceasta se numește o delegare, exact ceea ce face un registru pentru întregul dumneavoastră domeniu.

SOA: antetul tehnic

Fiecare zonă are exact o singură înregistrare SOA (Start of Authority), pe domeniul rădăcină (apex). Multe panouri nici măcar nu o afișează. Arată astfel:

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; serienummer
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

Numărul de serie este util atunci când căutați probleme. Dacă două servere de nume ale aceluiași domeniu afișează un număr de serie diferit, înseamnă că au o versiune diferită a zonei. Unul dintre ele poate afișa deja noua dumneavoastră înregistrare, celălalt încă pe cea veche. Cu un instrument de interogare (lecția 8.2) puteți verifica numărul de serie pentru fiecare server de nume în parte.

TLSA: DANE pentru e-mail

O înregistrare TLSA (RFC 6698) conține amprenta certificatului unui server. Aceasta se numește DANE. Un server de e-mail care trimite poate astfel verifica dacă vorbește într-adevăr cu serverul dumneavoastră de e-mail și nu cu un intrus. DANE funcționează doar dacă domeniul dumneavoastră are DNSSEC (lecția 8.1). Veți vedea înregistrări TLSA sub nume precum:

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <cod hexazecimal lung>

Aceasta înseamnă: portul 25, protocolul tcp, serverul mail.example.com. O înregistrare TLSA care nu mai corespunde certificatului (de exemplu, după o reînnoire cu o cheie nouă) face ca e-mailurile de la expeditori riguroși să fie refuzate. Creați-o numai dacă panoul dumneavoastră o actualizează automat.

HTTPS și SVCB: indicii pentru browser

Înregistrarea HTTPS și sora sa mai generală, SVCB (RFC 9460), sunt recente. Acestea oferă unui browser informații în avans, de exemplu faptul că site-ul suportă HTTP/3 și la ce adrese rulează. Astfel prima conexiune devine puțin mai rapidă.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Atenție: în ciuda numelui, înregistrarea HTTPS nu are nicio legătură cu certificatul dumneavoastră SSL. Fără o înregistrare HTTPS, https funcționează la fel de bine. Furnizorii mari de DNS cu propria rețea setează adesea automat această înregistrare. Este rareori necesar să o creați chiar dumneavoastră.

DS și DNSKEY: DNSSEC

Înregistrările DNSKEY conțin cheile publice cu care este semnată zona dumneavoastră. Înregistrarea DS este o amprentă a acelei chei și nu se află în propria zonă, ci la registru. Împreună formează lanțul de încredere al DNSSEC. Nu le administrați manual, ci prin funcția DNSSEC a furnizorului dumneavoastră de DNS. Lecția 8.1 explică cum funcționează și ce poate merge greșit la un transfer de domeniu.

Rezumat

• Înregistrările NS de pe domeniul rădăcină (apex) rămân așa cum sunt; serverele de nume se modifică la registrar. O înregistrare NS pe un subdomeniu încredințează administrarea acestuia unei alte părți.
• Înregistrarea SOA este antetul zonei, cu un număr de serie care crește la fiecare modificare. Câmpul minimum stabilește cache-ul negativ.
• TLSA (DANE) leagă un certificat de un server și funcționează doar cu DNSSEC.
• Înregistrările HTTPS și SVCB sunt indicii pentru browser și nu au nicio legătură cu certificatul dumneavoastră.
• DS și DNSKEY aparțin de DNSSEC și se administrează prin funcția DNSSEC.

Quiz

Exercițiu

Exercițiul Z5.3: SOA: administrator și cache negativ. Căutați înregistrarea SOA a domeniului wikipedia.org. Completați adresa de e-mail a administratorului (al doilea câmp, cu un @ în loc de primul punct) și valoarea ultimului câmp (minimum, cache-ul negativ), în secunde.

La această lecție nu există un exercițiu de configurare: aceste înregistrări rareori le creați chiar dumneavoastră.

Lecturi suplimentare

Aceste articole descriu panourile WebOké; în alte panouri funcționează similar.

• Manual DirectAdmin 5.2: Deschiderea DNS Administration și citirea înregistrărilor
• Manual WebOké 5.8: DNSSEC și DANE
• Manual WebOké 5.3: Modificați serverele de nume