Модул 5 · 5.3
NS, SOA и други записи
Модул 5: Други записи · Време за четене: 7 минути
Цел на урока: След този урок ще разпознавате другите записи, които срещате в дадена зона, и ще знаете, че обикновено не трябва да ги пипате.
Основни понятия: NS в зоната, SOA (сериен номер, refresh, retry, expire, minimum), TLSA (DANE), HTTPS и SVCB, DS и DNSKEY
Записи, които просто ги има
Когато отворите DNS екрана на даден домейн, освен A, CNAME, MX и TXT често виждате и още няколко записа, които Вие самите не сте създали. Повечето са там по основателна причина и трябва да ги оставите както са. В този урок ще се научите да ги разпознавате, за да не се притеснявате и да не ги изтриете по невнимание.
| Запис | Какво прави | Да го променяте ли сами? |
|---|---|---|
| NS | Кои DNS сървъри управляват зоната | Рядко |
| SOA | Техническото заглавие на зоната | Не, това го прави панелът |
| TLSA | Fingerprint на сертификат (DANE) | Само ако използвате DANE |
| HTTPS / SVCB | Подсказки за по-бърза и сигурна връзка | Обикновено Вашият DNS доставчик се грижи за това |
| DS / DNSKEY | Части от DNSSEC | Не, чрез бутона за DNSSEC |
| PTR | От IP адрес обратно към име | Не във Вашата собствена зона (урок 4.6) |
NS: DNS сървърите във Вашата собствена зона
В урок 2.1 видяхте, че регистърът записва кои DNS сървъри обслужват Вашия домейн. Същите тези DNS сървъри присъстват и във Вашата собствена зона като NS записи:
example.com. 3600 IN NS ns1.hosting.example.
example.com. 3600 IN NS ns2.hosting.example.Двата списъка трябва да съвпадат. Ако промените NS записите във Вашата зона, при регистъра нищо не се променя: DNS сървърите се сменят при Вашия регистратор (урок 2.3). Затова оставете NS записите на основния домейн както са.
NS запис на поддомейн обаче е нещо, което можете да създадете сами. С него прехвърляте управлението на този поддомейн на друга страна:
lab.example.com. 3600 IN NS ns1.otherprovider.example.Всичко под lab.example.com тогава се заявява от онзи друг DNS сървър. Това се нарича делегиране, точно каквото регистърът прави за целия Ви домейн.
SOA: техническото заглавие
Всяка зона има точно един SOA запис (Start of Authority), на основния домейн. Много панели дори не го показват. Ето как изглежда:
example.com. 3600 IN SOA ns1.hosting.example. hostmaster.example.com. (
2026110701 ; сериен номер
14400 ; refresh
3600 ; retry
1209600 ; expire
300 ) ; minimum| Поле | Означава |
|---|---|
ns1.hosting.example. | Главният DNS сървър на зоната |
hostmaster.example.com. | Имейл адресът на администратора, с точка вместо @: hostmaster@example.com |
| Сериен номер | Номер на версия. При всяка промяна се увеличава. Често е във формат година-месец-ден-пореден номер. |
| Refresh, retry, expire | Колко често допълнителните DNS сървъри проверяват при главния дали има нова версия, колко бързо опитват отново, и кога спират да отговарят, ако главният сървър е недостъпен твърде дълго |
| Minimum | Колко дълго даден резолвер може да помни, че дадено име не съществува (негативния кеш, RFC 2308). Повече за това в урок 6.2. |
Серийният номер е полезен при търсене на проблеми. Ако два DNS сървъра на един и същ домейн показват различен сериен номер, значи имат различна версия на зоната. Единият може вече да показва новия Ви запис, докато другият все още показва стария. С инструмент за проверка (урок 8.2) можете да проверите серийния номер на всеки DNS сървър поотделно.
TLSA: DANE за имейл
Един TLSA запис (RFC 6698) съдържа fingerprint на сертификата на даден сървър. Това се нарича DANE. Изпращащ имейл сървър може тогава да провери дали наистина общува с Вашия имейл сървър, а не с натрапник. DANE работи само ако домейнът Ви има DNSSEC (урок 8.1). TLSA записите изглеждат под имена от типа:
_25._tcp.mail.example.com. IN TLSA 3 1 1 <дълъг хекс код>Това означава: порт 25, протокол tcp, сървър mail.example.com. TLSA запис, който вече не отговаря на сертификата (например след подновяване с нов ключ), кара строгите подателите да отхвърлят имейли. Създавайте такъв запис само ако панелът Ви го поддържа автоматично.
HTTPS и SVCB: подсказки за браузъра
Записът HTTPS и неговото по-общо братче SVCB (RFC 9460) са нови. Те предоставят на браузъра предварителна информация, например че сайтът поддържа HTTP/3 и на какви адреси работи. Това прави първоначалната връзка малко по-бърза.
example.com. 300 IN HTTPS 1 . alpn="h3,h2" ipv4hint=192.0.2.10Внимание: въпреки името си, HTTPS записът няма нищо общо с Вашия SSL сертификат. Без HTTPS запис https работи нормално. Големите DNS доставчици със собствена мрежа често задават този запис автоматично. Рядко е нужно да го създавате сами.
DS и DNSKEY: DNSSEC
DNSKEY записите съдържат публичните ключове, с които е подписана Вашата зона. DS записът е fingerprint на този ключ и не се намира във Вашата собствена зона, а при регистъра. Заедно те изграждат веригата на доверие на DNSSEC. Не ги управлявате ръчно, а чрез DNSSEC функцията на Вашия DNS доставчик. Урок 8.1 обяснява как работи това и какво се проваля при трансфер.
Обобщение
- NS записите на основния домейн оставяте както са; DNS сървърите се сменят при регистратора. NS запис на поддомейн предава управлението му на друга страна.
- SOA записът е заглавието на зоната, със сериен номер, който се увеличава при всяка промяна. Полето minimum определя негативния кеш.
- TLSA (DANE) свързва сертификат със сървър и работи само с DNSSEC.
- HTTPS и SVCB записите са подсказки за браузъра и нямат нищо общо с Вашия сертификат.
- DS и DNSKEY принадлежат на DNSSEC и се управляват чрез DNSSEC функцията.
Тест
Задача
Задача Z5.3: SOA: администратор и негативен кеш. Потърсете SOA записа на wikipedia.org. Въведете имейл адреса на администратора (второто поле, с @ вместо първата точка) и стойността на последното поле (minimum, негативния кеш) в секунди.
Към този урок няма практическа задача за настройка: тези записи рядко се създават самостоятелно.
Допълнително четене
Тези статии описват панелите на WebOké; в други панели работи по подобен начин.