NS, SOA και άλλες εγγραφές

Ενότητα 5: Λοιπές εγγραφές · Χρόνος ανάγνωσης: 7 λεπτά

Στόχος μαθήματος: Μετά από αυτό το μάθημα θα αναγνωρίζετε τις λοιπές εγγραφές που συναντάτε σε μια ζώνη, και θα ξέρετε ότι συνήθως δεν χρειάζεται να τις αγγίζετε.

Βασικές έννοιες: NS στη ζώνη, SOA (serienummer, refresh, retry, expire, minimum), TLSA (DANE), HTTPS και SVCB, DS και DNSKEY

Εγγραφές που απλώς υπάρχουν

Όταν ανοίγετε την οθόνη DNS ενός domain, βλέπετε εκτός από A, CNAME, MX και TXT συχνά και μερικές ακόμη εγγραφές που δεν δημιουργήσατε εσείς οι ίδιοι. Οι περισσότερες υπάρχουν για καλό λόγο, και τις αφήνετε όπως είναι. Σε αυτό το μάθημα θα μάθετε να τις αναγνωρίζετε, ώστε να μην ανησυχείτε και να μην τις διαγράψετε κατά λάθος.

NS: οι nameservers στη δική σας ζώνη

Στο μάθημα 2.1 είδατε ότι το μητρώο (registry) καταγράφει ποιοι nameservers έχει το domain σας. Οι ίδιοι αυτοί nameservers βρίσκονται και στη δική σας ζώνη ως εγγραφές NS:

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

Οι δύο λίστες πρέπει να συμφωνούν. Αν αλλάξετε τις εγγραφές NS στη ζώνη σας, στο μητρώο δεν αλλάζει τίποτα: την αλλαγή nameservers την κάνετε στον καταχωρητή (registrar) σας (μάθημα 2.3). Αφήστε λοιπόν τις εγγραφές NS του βασικού domain (apex) όπως είναι.

Μια εγγραφή NS σε ένα subdomain είναι κάτι που μπορείτε όντως να δημιουργήσετε μόνοι σας. Με αυτήν δίνετε τη διαχείριση εκείνου του subdomain σε άλλον πάροχο:

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Όλα όσα βρίσκονται κάτω από το lab.example.com αναζητούνται τότε στον άλλο nameserver. Αυτό ονομάζεται ανάθεση (delegation), ακριβώς αυτό που κάνει ένα μητρώο για ολόκληρο το domain σας.

SOA: η τεχνική κεφαλίδα

Κάθε ζώνη έχει ακριβώς μία εγγραφή SOA (Start of Authority), στο βασικό domain. Πολλά πάνελ δεν την εμφανίζουν καν. Έτσι μοιάζει:

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; serienummer
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

Ο serienummer είναι χρήσιμος όταν ψάχνετε για προβλήματα. Αν δύο nameservers του ίδιου domain δίνουν διαφορετικό serienummer, τότε έχουν διαφορετική έκδοση της ζώνης. Ο ένας ίσως δίνει ήδη τη νέα σας εγγραφή, ο άλλος ακόμη την παλιά. Με ένα εργαλείο αναζήτησης (μάθημα 8.2) μπορείτε να ζητήσετε τον serienummer ανά nameserver.

TLSA: DANE για email

Μια εγγραφή TLSA (RFC 6698) περιέχει ένα fingerprint του πιστοποιητικού ενός server. Αυτό ονομάζεται DANE. Ένας αποστέλλων mailserver μπορεί τότε να ελέγξει αν πράγματι επικοινωνεί με τον δικό σας mailserver και όχι με έναν εισβολέα. Το DANE λειτουργεί μόνο αν το domain σας έχει DNSSEC (μάθημα 8.1). Βλέπετε εγγραφές TLSA κάτω από ονόματα όπως:

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <μεγάλος δεκαεξαδικός κωδικός>

Αυτό σημαίνει: θύρα 25, πρωτόκολλο tcp, server mail.example.com. Μια εγγραφή TLSA που δεν ταιριάζει πλέον με το πιστοποιητικό (για παράδειγμα μετά από ανανέωση με νέο κλειδί) κάνει αυστηρούς αποστολείς να απορρίπτουν το email. Δημιουργήστε την μόνο αν το πάνελ σας την ενημερώνει αυτόματα.

HTTPS και SVCB: υποδείξεις για τον browser

Η εγγραφή HTTPS και το γενικότερο αδελφάκι της, η SVCB (RFC 9460), είναι νέες. Δίνουν εκ των προτέρων πληροφορίες σε έναν browser, για παράδειγμα ότι ο ιστότοπος υποστηρίζει HTTP/3 και σε ποιες διευθύνσεις λειτουργεί. Αυτό κάνει την πρώτη σύνδεση λίγο πιο γρήγορη.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Προσέξτε: παρά το όνομά της, η εγγραφή HTTPS δεν έχει καμία σχέση με το πιστοποιητικό SSL σας. Χωρίς εγγραφή HTTPS, το https λειτουργεί κανονικά. Μεγάλοι πάροχοι DNS με δικό τους δίκτυο ρυθμίζουν συχνά αυτή την εγγραφή αυτόματα. Σπάνια χρειάζεται να τη δημιουργήσετε μόνοι σας.

DS και DNSKEY: DNSSEC

Οι εγγραφές DNSKEY περιέχουν τα δημόσια κλειδιά με τα οποία έχει υπογραφεί η ζώνη σας. Η εγγραφή DS είναι ένα fingerprint αυτού του κλειδιού και δεν βρίσκεται στη δική σας ζώνη, αλλά στο μητρώο. Μαζί σχηματίζουν την αλυσίδα εμπιστοσύνης του DNSSEC. Δεν τις διαχειρίζεστε χειροκίνητα, αλλά μέσω της λειτουργίας DNSSEC του πάροχου DNS σας. Το μάθημα 8.1 εξηγεί πώς λειτουργεί και τι πάει στραβά σε μια μεταφορά.

Σύνοψη

• Τις εγγραφές NS στο βασικό domain τις αφήνετε όπως είναι: τους nameservers τους αλλάζετε στον registrar. Μια εγγραφή NS σε ένα subdomain δίνει τη διαχείρισή του σε κάποιον άλλον.
• Η εγγραφή SOA είναι η κεφαλίδα της ζώνης, με έναν serienummer που αυξάνεται σε κάθε αλλαγή. Το πεδίο minimum καθορίζει την αρνητική cache.
• Το TLSA (DANE) συνδέει ένα πιστοποιητικό με έναν server και λειτουργεί μόνο με DNSSEC.
• Οι εγγραφές HTTPS και SVCB είναι υποδείξεις για τον browser και δεν έχουν καμία σχέση με το πιστοποιητικό σας.
• Τα DS και DNSKEY ανήκουν στο DNSSEC και τα διαχειρίζεστε μέσω της λειτουργίας DNSSEC.

Κουίζ

Άσκηση

Άσκηση Z5.3: SOA: διαχειριστής και αρνητική cache. Αναζητήστε την εγγραφή SOA του wikipedia.org. Συμπληρώστε τη διεύθυνση email του διαχειριστή (το δεύτερο πεδίο, με ένα @ αντί για την πρώτη τελεία) και την τιμή του τελευταίου πεδίου (minimum, η αρνητική cache) σε δευτερόλεπτα.

Σε αυτό το μάθημα δεν υπάρχει άσκηση ρύθμισης: αυτές τις εγγραφές σπάνια τις δημιουργείτε μόνοι σας.

Περαιτέρω ανάγνωση

Αυτά τα άρθρα περιγράφουν τα πάνελ του WebOké· σε άλλα πάνελ η λειτουργία είναι παρόμοια.

• Εγχειρίδιο DirectAdmin 5.2: Το DNS Administration ανοίγει και η ανάγνωση των εγγραφών
• Εγχειρίδιο WebOké 5.8: DNSSEC και DANE
• Εγχειρίδιο WebOké 5.3: Αλλαγή nameservers