Ενότητα 2 · 2.3
Αλλαγή nameservers και glue records
Ενότητα 2: Nameservers και ζώνες · Χρόνος ανάγνωσης: 8 λεπτά
Στόχος μαθήματος: Μετά από αυτό το μάθημα θα μπορείτε να αλλάζετε με ασφάλεια nameservers, να εξηγείτε τι είναι ένα glue record και να αναγνωρίζετε γιατί ένα μητρώο (registry) μπορεί να απορρίψει μια αλλαγή.
Βασικές έννοιες: αλλαγή nameserver μέσω του καταχωρητή (registrar), glue record, δικοί σας nameservers (όπως ns1.example.com), προέλεγχος προανάθεσης από το μητρώο (predelegation check), lame delegation
Πότε αλλάζετε nameservers;
Αλλάζετε τους nameservers ενός domain όταν θέλετε να μεταφέρετε τη διαχείριση του DNS σε άλλον πάροχο. Για παράδειγμα:
- αλλάζετε πάροχο hosting και θέλετε αυτός να διαχειρίζεται το DNS·
- θέλετε να χρησιμοποιήσετε μια υπηρεσία DNS όπως το Cloudflare·
- μια πλατφόρμα ιστοτόπων σάς ζητά να στρέψετε τους nameservers προς αυτήν·
- επιστρέφετε στους προεπιλεγμένους nameservers του καταχωρητή σας.
Είναι ένα σημαντικό βήμα: μετά την αλλαγή, ο νέος πάροχος καθορίζει όλες τις εγγραφές του domain σας, ακόμη και αυτές για το email. Αν θέλετε μόνο ο ιστότοπός σας ή μόνο το email σας να λειτουργεί αλλού, συνήθως δεν χρειάζεται να αλλάξετε τους nameservers. Τότε απλώς προσαρμόζετε μερικές εγγραφές (ενότητα 3 και 4).
Η ασφαλής σειρά ενεργειών
- Φτιάξτε μια λίστα ή αντίγραφο ασφαλείας των τρεχουσών εγγραφών σας. Πολλοί πίνακες ελέγχου διαθέτουν ένα κουμπί για εξαγωγή της ζώνης ή δημιουργία αντιγράφου ασφαλείας.
- Ετοιμάστε τη ζώνη στον νέο πάροχο. Μεταφέρετε όλες τις εγγραφές που χρειάζεστε: ιστότοπο (A, AAAA, www), email (MX, και την εγγραφή A του mail server αν αυτός ανήκει στο domain σας), SPF, DKIM, DMARC, εγγραφές επαλήθευσης, subdomains.
Ελέγξτε τη νέα ζώνη ρωτώντας απευθείας τους νέους nameservers, πριν ακόμη κάνετε την αλλαγή. Για παράδειγμα:
dig @ns1.newprovider.example example.com MXΑν οι νέοι nameservers απαντούν με τις σωστές εγγραφές, η ζώνη είναι έτοιμη.
- Έχετε ενεργοποιημένο το DNSSEC; Τότε κανονίστε πρώτα πώς θα μεταφερθούν τα κλειδιά. Απενεργοποιήστε το DNSSEC και περιμένετε να εξαφανιστούν τα παλιά δεδομένα DS από τις caches, ή δώστε τα νέα δεδομένα DS ταυτόχρονα. Διαφορετικά σπάει η αλυσίδα εμπιστοσύνης και το domain σας γίνεται απρόσιτο για resolvers που κάνουν επικύρωση (μάθημα 8.1).
- Αλλάξτε τους nameservers στον καταχωρητή σας. Συμπληρώστε τουλάχιστον δύο. Ο καταχωρητής τους διαβιβάζει στο μητρώο.
- Περιμένετε και ελέγξτε. Οι resolvers θυμούνται τους παλιούς nameservers μέχρι να περάσει το TTL της ανάθεσης (delegation). Στο
.nlαυτό είναι μία ώρα, στο.comδύο ημέρες. Γενικά υπολογίστε μερικές ώρες έως μία ημέρα. Αφήστε την παλιά ζώνη αμετάβλητη στο ενδιάμεσο διάστημα.
Γιατί μπορεί ένα μητρώο να απορρίψει τους nameservers σας;
Ορισμένα μητρώα ελέγχουν τους nameservers σας πριν εφαρμόσουν την αλλαγή. Αυτό ονομάζεται προέλεγχος προανάθεσης (predelegation check). Το DENIC (.de) είναι γνωστό για αυτό: αν οι νέοι nameservers δεν γνωρίζουν ακόμη το domain σας, ή οι απαντήσεις των nameservers δεν συμφωνούν μεταξύ τους, η αλλαγή απορρίπτεται. Και άλλα μητρώα μπορεί να κάνουν ελέγχους, ή να έχουν κανόνες για τον αριθμό των nameservers.
Η λύση είναι πάντα η ίδια: ετοιμάστε πρώτα τη ζώνη στον νέο πάροχο, και δοκιμάστε ξανά μετά. Αυτό είναι το βήμα 2 της ασφαλούς σειράς ενεργειών. Για το .nl μπορείτε να δοκιμάσετε τους nameservers σας εκ των προτέρων με ένα δημόσιο εργαλείο όπως το Zonemaster.
Lame delegation
Αν οι nameservers στο μητρώο δείχνουν σε servers που δεν γνωρίζουν το domain σας, αυτό ονομάζεται lame delegation (μια «ελαττωματική» ανάθεση). Ο resolver παραπέμπεται σε έναν server που δεν έχει απάντηση. Το αποτέλεσμα: το domain σας δεν λειτουργεί, ή λειτουργεί μόνο περιστασιακά (αν ένας από τους nameservers είναι σωστός).
Αυτό συμβαίνει για παράδειγμα όταν:
- αλλάξατε τους nameservers πριν ο νέος πάροχος έχει έτοιμη τη ζώνη·
- αποχωρήσατε από έναν παλιό πάροχο, ο οποίος διέγραψε τη ζώνη, ενώ οι nameservers εξακολουθούν να δείχνουν σε εκείνον τον πάροχο·
- υπάρχει τυπογραφικό λάθος σε όνομα nameserver.
Ελέγχετε αυτό ρωτώντας κάθε nameserver ξεχωριστά. Κάθε nameserver πρέπει να δίνει μια απάντηση, με τη σημαία «authoritative» (στο dig το βλέπετε ως aa στα flags).
Δικοί σας nameservers και glue records
Μπορείτε επίσης να χρησιμοποιήσετε nameservers με όνομα κάτω από το δικό σας domain, όπως ns1.example.com και ns2.example.com. Αυτό ονομάζεται δικοί σας nameservers ή vanity nameservers. Τότε προκύπτει ένα πρόβλημα «αυγό και κότα»:
- για να αναζητηθεί το
example.com, ο resolver πρέπει να πάει στοns1.example.com· - αλλά για να βρει τη διεύθυνση IP του
ns1.example.com, πρέπει να κοιτάξει στη ζώνη τουexample.com.
Γι' αυτό το μητρώο τοποθετεί, εκτός από το όνομα του nameserver, και τη διεύθυνση IP στην παραπομπή. Αυτή η επιπλέον διεύθυνση ονομάζεται glue record (εγγραφή «κόλλας»):
; στη ζώνη του .com, στο μητρώο (Verisign)
example.com. NS ns1.example.com.
example.com. NS ns2.example.com.
ns1.example.com. A 192.0.2.53 ; glue
ns2.example.com. A 198.51.100.53 ; glueΤο glue είναι απαραίτητο μόνο όταν ο nameserver ανήκει μέσα στο ίδιο το domain (ή σε ένα domain που εξαρτάται από την ίδια ανάθεση). Αν χρησιμοποιείτε ns1.hosting.example για το example.com, τότε δεν χρειάζεται glue: αυτή η διεύθυνση βρίσκεται στη ζώνη του hosting.example.
Το glue το κανονίζετε μέσω του καταχωρητή σας, συχνά κάτω από ένα κουμπί όπως «Καταχώρηση δικού σας nameserver» ή «Child nameserver» ή «Δημιουργία Host». Αν αλλάξει η διεύθυνση IP του nameserver σας, πρέπει να ενημερώσετε και το glue στο μητρώο. Διαφορετικά οι resolvers θα δείχνουν σε παλιά διεύθυνση.
Για τους περισσότερους κατόχους domain, δικοί τους nameservers δεν είναι απαραίτητοι. Χρησιμοποιούνται κυρίως από εταιρείες hosting και μεταπωλητές που θέλουν να εμφανίζουν το δικό τους όνομα.
Στην πράξη: έτσι εμφανίζεται σε έναν πίνακα ελέγχου
Στο Το WebOké μου πηγαίνετε στα Τα domains μου, κάνετε κλικ στο domain και κάνετε κλικ στο εικονίδιο του μολυβιού στην κάρτα Nameservers. Συμπληρώνετε τουλάχιστον δύο nameservers. Τους δικούς σας nameservers τους δημιουργείτε εκεί πρώτα με το κουμπί για δικό σας nameserver (glue). Σε άλλους καταχωρητές αυτό ονομάζεται συχνά «Αλλαγή nameservers», «DNS servers» ή «Custom nameservers», και για το glue «Child nameservers» ή «Host records»· τα πεδία είναι τα ίδια.
Σύνοψη
- Με την αλλαγή nameservers μεταφέρετε τη διαχείριση όλων των εγγραφών σας σε άλλον πάροχο.
- Ασφαλής σειρά ενεργειών: αντίγραφο ασφαλείας, προετοιμασία ζώνης, δοκιμή νέων nameservers, ρύθμιση DNSSEC, και μόνο τότε αλλαγή.
- Ορισμένα μητρώα (όπως το DENIC) απορρίπτουν μια αλλαγή αν οι νέοι nameservers δεν έχουν ακόμη τη ζώνη.
- Lame delegation: το μητρώο παραπέμπει σε nameservers που δεν γνωρίζουν το domain σας.
- Τα glue records είναι διευθύνσεις IP στο μητρώο για nameservers που ανήκουν μέσα στο ίδιο domain.
Κουίζ
Άσκηση
Άσκηση Z2.3: Είναι όλοι οι nameservers ίδιοι; Αναζητήστε τους nameservers του sidn.nl (ο ιστότοπος του SIDN, του μητρώου των domains .nl στην Ολλανδία). Στη συνέχεια, ρωτήστε κάθε nameserver ξεχωριστά για την εγγραφή SOA του sidn.nl (dig @ns1.sidn.nl sidn.nl SOA, ή ένα online εργαλείο όπου μπορείτε να επιλέξετε τον server). Συμπληρώστε για κάθε nameserver τον σειριακό αριθμό, και αν είναι ίδιοι.
Περαιτέρω ανάγνωση
Αυτά τα άρθρα περιγράφουν την κατάσταση στο WebOké. Σε άλλους καταχωρητές η λειτουργία είναι παρόμοια.