NS, SOA ir kiti įrašai

5 modulis: Kiti įrašai · Skaitymo trukmė: 7 min.

Mokymosi tikslas: Po šios pamokos atpažinsite kitus įrašus, su kuriais susidursite zonoje, ir žinosite, kad dažniausiai jų nereikia liesti.

Pagrindinės sąvokos: NS zonoje, SOA (serijos numeris, refresh, retry, expire, minimum), TLSA (DANE), HTTPS ir SVCB, DS ir DNSKEY

Įrašai, kurie tiesiog yra

Atidarę domeno DNS langą, šalia A, CNAME, MX ir TXT dažnai pamatysite ir keletą įrašų, kurių patys nesukūrėte. Dauguma jų yra ten dėl geros priežasties, todėl juos palikite. Šioje pamokoje išmoksite juos atpažinti, kad nenustebtumėte ir netyčia jų nepašalintumėte.

NS: vardų serveriai Jūsų pačių zonoje

Pamokoje 2.1 matėte, kad registras užfiksuoja, kokius vardų serverius turi Jūsų domenas. Tie patys vardų serveriai yra įrašyti ir Jūsų pačių zonoje kaip NS įrašai:

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

Abu sąrašai turi sutapti. Jei pakeisite NS įrašus savo zonoje, registre niekas nepasikeis: vardų serverius keičiate pas savo registratorių (pamoka 2.3). Todėl pagrindinio domeno NS įrašus palikite nepakeistus.

NS įrašas subdomene yra kažkas, ką galite sukurti patys. Taip to subdomeno valdymą perduodate kitai šaliai:

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Tuomet viskas, kas yra po lab.example.com, užklausiama iš to kito vardų serverio. Tai vadinama delegavimu, lygiai tas pats, ką registras daro visam Jūsų domenui.

SOA: techninė antraštė

Kiekviena zona turi lygiai vieną SOA įrašą (Start of Authority), pagrindiniame domene. Daugelis skydelių jo net neparodo. Štai kaip jis atrodo:

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; serienummer
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

Serijos numeris pravartus ieškant problemų. Jei du to paties domeno vardų serveriai pateikia skirtingą serijos numerį, vadinasi jie turi skirtingą zonos versiją. Vienas galbūt jau rodo naują Jūsų įrašą, kitas dar seną. Paieškos įrankiu (pamoka 8.2) galite patikrinti serijos numerį kiekvienam vardų serveriui atskirai.

TLSA: DANE el. paštui

TLSA įrašas (RFC 6698) turi serverio sertifikato pirštų atspaudą. Tai vadinama DANE. Siunčiantis pašto serveris tuomet gali patikrinti, ar jis tikrai kalbasi su Jūsų pašto serveriu, o ne su įsibrovėliu. DANE veikia tik tada, jei Jūsų domenas turi DNSSEC (pamoka 8.1). TLSA įrašus matysite pavadinimais, panašiais į šį:

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <lange hexcode>

Tai reiškia: portas 25, protokolas tcp, serveris mail.example.com. TLSA įrašas, kuris nebeatitinka sertifikato (pavyzdžiui, atnaujinus su nauju raktu), priverčia griežtus siuntėjus atmesti paštą. Kurkite jį tik tuo atveju, jei skydelis jį prižiūri automatiškai.

HTTPS ir SVCB: užuominos naršyklei

HTTPS įrašas ir jo bendresnis giminaitis SVCB (RFC 9460) yra nauji. Jie iš anksto suteikia naršyklei informacijos, pavyzdžiui, kad svetainė palaiko HTTP/3 ir kokiais adresais ji veikia. Tai leidžia pirmąjį ryšį užmegzti šiek tiek greičiau.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Atkreipkite dėmesį: nepaisant pavadinimo, HTTPS įrašas neturi nieko bendra su Jūsų SSL sertifikatu. Be HTTPS įrašo https tiesiog veikia. Didieji DNS paslaugų teikėjai su nuosavu tinklu šį įrašą dažnai nustato automatiškai. Patiems jį kurti reikia retai.

DS ir DNSKEY: DNSSEC

DNSKEY įrašai turi viešuosius raktus, kuriais pasirašyta Jūsų zona. DS įrašas yra to rakto pirštų atspaudas ir yra ne Jūsų pačių zonoje, o pas registrą. Kartu jie sudaro DNSSEC pasitikėjimo grandinę. Jų nevaldote rankiniu būdu, o per Jūsų DNS paslaugų teikėjo DNSSEC funkciją. Pamoka 8.1 paaiškina, kaip tai veikia ir kas sugenda perkėlimo metu.

Santrauka

• NS įrašus pagrindiniame domene palikite nepakeistus; vardų serverius keičiate pas registratorių. NS įrašas subdomene perduoda jo valdymą kitai šaliai.
• SOA įrašas yra zonos antraštė su serijos numeriu, kuris didėja po kiekvieno pakeitimo. Minimum laukas nustato neigiamą talpyklą.
• TLSA (DANE) susieja sertifikatą su serveriu ir veikia tik su DNSSEC.
• HTTPS ir SVCB įrašai yra užuominos naršyklei ir neturi nieko bendra su Jūsų sertifikatu.
• DS ir DNSKEY priklauso DNSSEC ir valdomi per DNSSEC funkciją.

Testas

Užduotis

Užduotis Z5.3: SOA: administratorius ir neigiama talpykla. Suraskite wikipedia.org SOA įrašą. Įveskite administratoriaus el. pašto adresą (antrasis laukas, su @ vietoje pirmojo taško) ir paskutinio lauko (minimum, neigiama talpykla) reikšmę sekundėmis.

Šiai pamokai nėra nustatymo užduoties: šiuos įrašus patys kuriate retai.

Skaitykite daugiau

Šie straipsniai aprašo WebOké skydelius; kituose skydeliuose veikimas panašus.

• DirectAdmin vadovas 5.2: DNS administravimo atidarymas ir įrašų peržiūra
• WebOké vadovas 5.8: DNSSEC ir DANE
• WebOké vadovas 5.3: Keisti vardų serverius