NS, SOA in drugi zapisi

Modul 5: Drugi zapisi · Čas branja: 7 minut

Učni cilj: Po tej lekciji boste prepoznali druge zapise, na katere naletite v coni, in vedeli boste, da se jih večinoma ne dotikate.

Ključni pojmi: NS v coni, SOA (serijska številka, refresh, retry, expire, minimum), TLSA (DANE), HTTPS in SVCB, DS in DNSKEY

Zapisi, ki preprosto stojijo tam

Ko odprete DNS zaslon domene, poleg A, CNAME, MX in TXT pogosto vidite še nekaj zapisov, ki jih niste ustvarili sami. Večina jih je tam iz dobrega razloga in jih pustite pri miru. V tej lekciji se jih boste naučili prepoznati, da Vas ne presenetijo in da jih po nesreči ne odstranite.

NS: imenski strežniki v Vaši lastni coni

V lekciji 2.1 ste videli, da register določa, kateri imenski strežniki pripadajo Vaši domeni. Isti imenski strežniki so navedeni tudi v Vaši lastni coni kot zapisi NS:

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

Oba seznama se morata ujemati. Če spremenite zapise NS v svoji coni, se pri registru ne spremeni nič: imenske strežnike spremenite pri svojem registrarju (lekcija 2.3). Zapise NS na goli domeni torej pustite, kot so.

Zapis NS na poddomeni pa je nekaj, kar lahko ustvarite sami. S tem upravljanje te poddomene predate drugi stranki:

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Vse pod lab.example.com se nato poizveduje pri tem drugem imenskem strežniku. Temu pravimo delegacija, točno to, kar register naredi za celotno Vašo domeno.

SOA: tehnična glava

Vsaka cona ima natanko en zapis SOA (Start of Authority), na goli domeni. Mnoge nadzorne plošče ga sploh ne prikažejo. Tako je videti:

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; serijska številka
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

Serijska številka je koristna pri iskanju težav. Če dva imenska strežnika iste domene vrneta različno serijsko številko, imata različico cone, ki se razlikuje. Eden morda že vrača Vaš nov zapis, drugi še starega. S pomočjo orodja za poizvedbe (lekcija 8.2) lahko preverite serijsko številko pri posameznem imenskem strežniku.

TLSA: DANE za e-pošto

Zapis TLSA (RFC 6698) vsebuje prstni odtis certifikata strežnika. Temu pravimo DANE. Pošiljajoči poštni strežnik lahko tako preveri, ali res komunicira z Vašim poštnim strežnikom in ne z vsiljivcem. DANE deluje samo, če ima Vaša domena DNSSEC (lekcija 8.1). Zapise TLSA vidite pod imeni, kot je:

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <dolga heksadecimalna koda>

To pomeni: vrata 25, protokol tcp, strežnik mail.example.com. Zapis TLSA, ki se ne ujema več s certifikatom (na primer po obnovi z novim ključem), povzroči, da strogi pošiljatelji e-pošto zavrnejo. Ustvarite ga le, če nadzorna plošča to samodejno vzdržuje.

HTTPS in SVCB: namigi za brskalnik

Zapis HTTPS in njegov splošnejši bratec SVCB (RFC 9460) sta novejša. Brskalniku vnaprej posredujeta informacije, na primer da stran podpira HTTP/3 in na katerih naslovih deluje. To prvo povezavo naredi nekoliko hitrejšo.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Pozor: kljub imenu zapis HTTPS nima nič skupnega z Vašim SSL certifikatom. Brez zapisa HTTPS https deluje povsem normalno. Veliki DNS ponudniki z lastnim omrežjem ta zapis pogosto nastavijo samodejno. Sami ga redko potrebujete ustvariti.

DS in DNSKEY: DNSSEC

Zapisi DNSKEY vsebujejo javne ključe, s katerimi je Vaša cona podpisana. Zapis DS je prstni odtis tega ključa in ne stoji v Vaši lastni coni, temveč pri registru. Skupaj tvorita verigo zaupanja DNSSEC. Ne upravljate ju ročno, temveč prek funkcije DNSSEC pri Vašem DNS ponudniku. Lekcija 8.1 razloži, kako deluje in kaj gre narobe pri prenosu.

Povzetek

• Zapise NS na goli domeni pustite, kot so; imenske strežnike spremenite pri registrarju. Zapis NS na poddomeni predá upravljanje te poddomene drugi stranki.
• Zapis SOA je glava cone, s serijsko številko, ki se ob vsaki spremembi poveča. Polje minimum določa negativni predpomnilnik.
• TLSA (DANE) povezuje certifikat s strežnikom in deluje samo z DNSSEC.
• Zapisi HTTPS in SVCB so namigi za brskalnik in nimajo nič skupnega z Vašim certifikatom.
• DS in DNSKEY spadata k DNSSEC in ju upravljate prek funkcije DNSSEC.

Kviz

Naloga

Naloga Z5.3: SOA: skrbnik in negativni predpomnilnik. Poiščite zapis SOA domene wikipedia.org. Vnesite e-poštni naslov skrbnika (drugo polje, z znakom @ namesto prve pike) in vrednost zadnjega polja (minimum, negativni predpomnilnik) v sekundah.

Pri tej lekciji ni nastavitvene naloge: te zapise redko ustvarjate sami.

Za nadaljnje branje

Ti članki opisujejo nadzorne plošče WebOké; pri drugih nadzornih ploščah deluje podobno.

• Priročnik DirectAdmin 5.2: Odpiranje upravljanja DNS in branje zapisov
• Priročnik WebOké 5.8: DNSSEC in DANE
• Priročnik WebOké 5.3: Spreminjanje imenskih strežnikov