Промяна на DNS сървъри (nameserver) и glue записи

Модул 2: DNS сървъри и зони · Време за четене: 8 минути

Цел на урока: След този урок ще можете безопасно да сменяте DNS сървърите (nameserver), да обясните какво е glue запис и да разпознавате защо регистър (registry) може да откаже промяна.

Основни понятия: смяна на DNS сървър чрез регистратора, glue запис, собствени DNS сървъри (като ns1.example.com), предделегационна проверка от регистъра (registry), lame delegation

Кога сменяте DNS сървърите?

Сменяте DNS сървърите на домейн, когато искате управлението на DNS да премине към друга страна. Например:

• преминавате към друг хостинг доставчик и искате той да управлява DNS;
• искате да използвате DNS услуга като Cloudflare;
• платформа за уебсайтове Ви моли да насочите DNS сървърите към нея;
• връщате се към стандартните DNS сървъри на Вашия регистратор.

Това е голяма стъпка: след смяната новата страна определя всички записи на Вашия домейн, включително тези за имейл. Ако искате само уебсайтът Ви или само пощата Ви да работи другаде, обикновено не е нужно да сменяте DNS сървърите. Тогава просто коригирате няколко записа (модул 3 и 4).

Безопасният ред на действие

1. Направете списък или резервно копие на текущите си записи. Много панели имат бутон за експортиране на зоната или създаване на резервно копие.
2. Подгответе зоната при новата страна. Пренесете всички записи, които са Ви нужни: уебсайт (A, AAAA, www), поща (MX и A записа на пощенския сървър, ако попада под Вашия домейн), SPF, DKIM, DMARC, записи за верификация, поддомейни.

3. Проверете новата зона, като изпратите заявка директно към новите DNS сървъри, още преди да извършите смяната. Например:

   dig @ns1.newprovider.example example.com MX

   Ако новите DNS сървъри отговарят с правилните записи, зоната е готова.

4. Имате ли активиран DNSSEC? Тогава първо уредете как ще се прехвърлят ключовете. Изключете DNSSEC и изчакайте старите DS данни да отпаднат от кешовете, или подайте новите DS данни едновременно. Иначе веригата се прекъсва и домейнът Ви става недостъпен за валидиращи резолвери (resolver) (урок 8.1).
5. Сменете DNS сървърите при Вашия регистратор. Въведете поне два. Регистраторът ги подава на регистъра (registry).
6. Изчакайте и проверете. Резолверите (resolver) запомнят старите DNS сървъри, докато изтече TTL на делегацията. При .nl това е един час, при .com два дни. Общо взето разчитайте на няколко часа до денонощие. Оставете старата зона непроменена през това време.

Защо регистър (registry) може да откаже Вашите DNS сървъри?

Някои регистри проверяват DNS сървърите Ви, преди да приложат промяната. Това се нарича предделегационна проверка. DENIC (.de) е известен с това: ако новите DNS сървъри все още не познават домейна Ви, или отговорите на DNS сървърите не съвпадат помежду си, промяната се отказва. И други регистри могат да извършват проверки или имат правила за броя DNS сървъри.

Решението винаги е едно и също: първо подгответе зоната при новата страна, и след това опитайте отново. Това е стъпка 2 от безопасния ред на действие. За .nl можете предварително да тествате Вашите DNS сървъри с публичен инструмент като Zonemaster.

Lame delegation

Ако DNS сървърите при регистъра сочат към сървъри, които не познават домейна Ви, това се нарича lame delegation ("осакатена" делегация). Резолверът (resolver) бива пренасочен към сървър, който няма отговор. Резултатът: домейнът Ви не работи, или работи само понякога (ако един от DNS сървърите е изряден).

Това се случва например когато:

• сте сменили DNS сървърите, преди новата страна да е имала готова зоната;
• сте напуснали стара страна, която е изтрила зоната, докато DNS сървърите все още сочат към нея;
• има печатна грешка в името на DNS сървър.

Проверявате това, като изпращате заявка поотделно към всеки DNS сървър. Всеки DNS сървър трябва да даде отговор, с флага "authoritative" (в dig виждате aa сред flags).

Собствени DNS сървъри и glue записи

Можете също да използвате DNS сървъри с име под собствения Ви домейн, като ns1.example.com и ns2.example.com. Това се нарича собствени DNS сървъри или vanity nameservers. Тогава възниква проблем "кое е първо, кокошката или яйцето":

• за да намери example.com, резолверът (resolver) трябва да отиде при ns1.example.com;
• но за да намери IP адреса на ns1.example.com, той трябва да погледне в зоната на example.com.

Затова регистърът (registry) поставя заедно с името на DNS сървъра и IP адреса в делегацията. Този допълнителен адрес се нарича glue запис (свързващ запис):

; в зоната на .com, при регистъра (Verisign)
example.com.       NS  ns1.example.com.
example.com.       NS  ns2.example.com.
ns1.example.com.   A   192.0.2.53      ; glue
ns2.example.com.   A   198.51.100.53   ; glue

Glue е нужен само когато DNS сървърът попада в рамките на самия домейн (или в домейн, зависим от същата делегация). Ако използвате ns1.hosting.example за example.com, не е нужен glue: този адрес се намира в зоната на hosting.example.

Glue се урежда чрез Вашия регистратор, често под бутон като "Регистриране на собствен DNS сървър" или "Child nameserver" или "Създаване на Host". Ако IP адресът на DNS сървъра Ви се промени, трябва да актуализирате и glue записа при регистъра. Иначе резолверите (resolver) ще сочат към стар адрес.

За повечето притежатели на домейни собствени DNS сървъри не са необходими. Те се използват предимно от хостинг компании и препродавачи, които искат да показват собственото си име.

На практика: ето как изглежда в панел

В Моят WebOké отивате на Моите домейни, кликвате върху домейна и кликвате върху молива в картата Nameservers. Въвеждате поне два DNS сървъра. Собствени DNS сървъри създавате там първо с бутона за собствен DNS сървър (glue). При други регистратори това често се нарича "Смяна на DNS сървъри", "DNS сървъри" или "Custom nameservers", а за glue "Child nameservers" или "Hostrecords"; полетата са същите.

Обобщение

• Чрез смяна на DNS сървърите прехвърляте управлението на всички Ваши записи към друга страна.
• Безопасен ред: резервно копие, подготовка на зоната, тестване на новите DNS сървъри, уреждане на DNSSEC, едва тогава смяна.
• Някои регистри (като DENIC) отказват промяна, ако новите DNS сървъри все още нямат зоната.
• Lame delegation: регистърът (registry) сочи към DNS сървъри, които не познават домейна Ви.
• Glue записите са IP адреси при регистъра за DNS сървъри, попадащи в рамките на собствения домейн.

Тест

Задача

Задача Z2.3: Всички DNS сървъри еднакви ли са? Намерете DNS сървърите на sidn.nl (сайтът на SIDN, регистъра на .nl в Нидерландия). След това изпратете заявка към всеки DNS сървър поотделно за SOA записа на sidn.nl (dig @ns1.sidn.nl sidn.nl SOA, или онлайн инструмент, при който можете да изберете сървъра). Попълнете серийния номер за всеки DNS сървър и дали те съвпадат.

Допълнително четене

Тези статии описват ситуацията при WebOké. При други регистратори работи по сходен начин.

• Ръководство на WebOké 5.3: Промяна на сървърите за имена
• Ръководство на WebOké 2.4: Настройка на Вашия домейн: сървъри за имена, свързване с пакета и собственикът
• Използване на собствени или външни nameserver сървъри (като Cloudflare) за Вашия домейн
• Тестване на Вашите nameserver записи, също и за домейн .nl