Nameservers wijzigen en glue records

Module 2: Nameservers en zones · Leestijd: 8 minuten

Leerdoel: Na deze les kun je nameservers veilig wijzigen, uitleggen wat een glue record is en herkennen waarom een registry een wijziging kan weigeren.

Kernbegrippen: nameserverwijziging via de registrar, glue record, eigen nameservers (zoals ns1.example.com), predelegatiecontrole door de registry, lame delegation

Wanneer wijzig je nameservers?

Je wijzigt de nameservers van een domein als je het beheer van je DNS naar een andere partij wilt brengen. Bijvoorbeeld:

• je stapt over naar een andere hostingpartij en wilt dat die de DNS beheert;
• je wilt een DNS-dienst zoals Cloudflare gebruiken;
• een websiteplatform vraagt je de nameservers naar hen te zetten;
• je komt terug naar de standaardnameservers van je registrar.

Het is een grote stap: na de wissel bepaalt de nieuwe partij alle records van je domein, ook die voor e-mail. Wil je alleen je website of alleen je mail ergens anders laten draaien, dan hoef je de nameservers meestal niet te wijzigen. Dan pas je alleen een paar records aan (module 3 en 4).

De veilige volgorde

1. Maak een lijst of back-up van je huidige records. Veel panelen hebben een knop om de zone te exporteren of een back-up te maken.
2. Zet de zone klaar bij de nieuwe partij. Neem alle records over die je nodig hebt: website (A, AAAA, www), mail (MX, en het A-record van de mailserver als die onder je domein valt), SPF, DKIM, DMARC, verificatierecords, subdomeinen.

3. Controleer de nieuwe zone door de nieuwe nameservers rechtstreeks te bevragen, nog voordat je wisselt. Bijvoorbeeld:

   dig @ns1.newprovider.example example.com MX

   Antwoorden de nieuwe nameservers met de juiste records, dan is de zone klaar.

4. Heb je DNSSEC aan? Regel dan eerst hoe de sleutels meegaan. Zet DNSSEC uit en wacht tot de oude DS-gegevens uit de caches zijn, of geef de nieuwe DS-gegevens tegelijk door. Anders breekt de keten en is je domein onbereikbaar voor validerende resolvers (les 8.1).
5. Wijzig de nameservers bij je registrar. Vul er minimaal twee in. De registrar geeft ze door aan de registry.
6. Wacht en controleer. Resolvers onthouden de oude nameservers tot de TTL van de delegatie voorbij is. Bij .nl is dat een uur, bij .com twee dagen. Reken in het algemeen op enkele uren tot een dag. Laat de oude zone zolang ongewijzigd staan.

Waarom kan een registry je nameservers weigeren?

Sommige registries controleren je nameservers voordat ze de wijziging doorvoeren. Dat heet een predelegatiecontrole. DENIC (.de) is daar bekend om: als de nieuwe nameservers je domein nog niet kennen, of de antwoorden van de nameservers niet met elkaar kloppen, wordt de wijziging geweigerd. Ook andere registries kunnen controles doen, of hebben regels over het aantal nameservers.

De oplossing is steeds dezelfde: zet eerst de zone klaar bij de nieuwe partij, en probeer het daarna opnieuw. Dat is stap 2 van de veilige volgorde. Voor .nl kun je je nameservers vooraf testen met een openbare test zoals Zonemaster.

Lame delegation

Wijzen de nameservers bij de registry naar servers die je domein niet kennen, dan heet dat een lame delegation (een "lamme" delegatie). De resolver wordt doorverwezen naar een server die geen antwoord heeft. Het gevolg: je domein werkt niet, of alleen soms (als één van de nameservers wel goed is).

Dit gebeurt bijvoorbeeld als:

• je nameservers hebt gewijzigd voordat de nieuwe partij de zone had;
• je vertrokken bent bij een oude partij, die de zone heeft verwijderd, terwijl de nameservers nog naar die partij wijzen;
• er een tikfout in een nameservernaam zit.

Je controleert dit door elke nameserver apart te bevragen. Elke nameserver moet een antwoord geven, met de vlag "authoritative" (in dig zie je aa bij de flags).

Eigen nameservers en glue records

Je kunt ook nameservers gebruiken met een naam onder je eigen domein, zoals ns1.example.com en ns2.example.com. Dat heet eigen nameservers of vanity nameservers. Er ontstaat dan een kip-en-ei-probleem:

• om example.com op te zoeken, moet de resolver naar ns1.example.com;
• maar om het IP-adres van ns1.example.com te vinden, moet hij in de zone van example.com kijken.

Daarom zet de registry naast de nameservernaam ook het IP-adres in de verwijzing. Dat extra adres heet een glue record (lijm-record):

; in de zone van .nl, bij de registry
example.com.       NS  ns1.example.com.
example.com.       NS  ns2.example.com.
ns1.example.com.   A   192.0.2.53      ; glue
ns2.example.com.   A   198.51.100.53   ; glue

Glue is alleen nodig als de nameserver binnen het domein zelf valt (of binnen een domein dat afhankelijk is van dezelfde delegatie). Gebruik je ns1.hosting.example voor example.com, dan is geen glue nodig: dat adres staat in de zone van hosting.example.

Glue regel je via je registrar, vaak onder een knop als "Eigen nameserver registreren" of "Child nameserver" of "Host aanmaken". Verandert het IP-adres van je nameserver, dan moet je ook de glue bij de registry bijwerken. Anders wijzen resolvers naar een oud adres.

Voor de meeste domeinhouders zijn eigen nameservers niet nodig. Ze worden vooral gebruikt door hostingbedrijven en wederverkopers die hun eigen naam willen tonen.

In de praktijk: zo ziet het eruit in een paneel

In Mijn WebOké ga je naar Mijn Domeinen, klik je op het domein en klik je op de kaart Nameservers op het potlood. Je vult minimaal twee nameservers in. Eigen nameservers maak je daar eerst aan met de knop voor een eigen nameserver (glue). Bij andere registrars heet dit vaak "Nameservers wijzigen", "DNS-servers" of "Custom nameservers", en voor glue "Child nameservers" of "Hostrecords"; de velden zijn hetzelfde.

Samenvatting

• Met nameservers wijzigen breng je het beheer van al je records naar een andere partij.
• Veilige volgorde: back-up, zone klaarzetten, nieuwe nameservers testen, DNSSEC regelen, dan pas wisselen.
• Sommige registries (zoals DENIC) weigeren een wijziging als de nieuwe nameservers de zone nog niet hebben.
• Lame delegation: de registry verwijst naar nameservers die je domein niet kennen.
• Glue records zijn IP-adressen bij de registry voor nameservers die binnen het eigen domein vallen.

Quiz

Opdracht

Z2.3 Test elke nameserver apart. Zoek de nameservers van sidn.nl op. Vraag daarna bij elke nameserver afzonderlijk het SOA-record van sidn.nl op (dig @ns1.sidn.nl sidn.nl SOA, of een online tool waarbij je de server kunt kiezen). Vul per nameserver het serienummer in, en of ze gelijk zijn.3.

Verder lezen

Deze artikelen beschrijven de situatie bij WebOké. Bij andere registrars werkt het vergelijkbaar.

• WebOké handleiding 5.3: Nameservers wijzigen
• WebOké handleiding 2.4: Je domein instellen: nameservers, koppelen aan je pakket en de eigenaar
• Eigen of externe nameservers (zoals Cloudflare) gebruiken voor je domein
• Je nameservers testen, ook voor een .nl-domein