Module 5 · 5.3
NS, SOA en andere records
Module 5: Overige records · Leestijd: 7 minuten
Leerdoel: Na deze les herken je de overige records die je in een zone tegenkomt, en weet je dat je ze meestal niet aanraakt.
Kernbegrippen: NS in de zone, SOA (serienummer, refresh, retry, expire, minimum), TLSA (DANE), HTTPS en SVCB, DS en DNSKEY
Records die er gewoon staan
Open je het DNS-scherm van een domein, dan zie je naast A, CNAME, MX en TXT vaak nog een paar records die je niet zelf hebt gemaakt. De meeste zijn er om een goede reden, en je laat ze staan. In deze les leer je ze herkennen, zodat je niet schrikt en ze niet per ongeluk weghaalt.
| Record | Wat het doet | Zelf aanpassen? |
|---|---|---|
| NS | Welke nameservers de zone beheren | Zelden |
| SOA | De technische kop van de zone | Nee, dat doet het paneel |
| TLSA | Vingerafdruk van een certificaat (DANE) | Alleen als je DANE gebruikt |
| HTTPS / SVCB | Hints voor een snellere, veilige verbinding | Meestal regelt je DNS-partij het |
| DS / DNSKEY | Onderdelen van DNSSEC | Nee, via de DNSSEC-knop |
| PTR | Van IP-adres terug naar naam | Niet in je eigen zone (les 4.6) |
NS: de nameservers in je eigen zone
In les 2.1 heb je gezien dat de registry vastlegt welke nameservers je domein heeft. Diezelfde nameservers staan ook in je eigen zone als NS-records:
example.com. 3600 IN NS ns1.hosting.example.
example.com. 3600 IN NS ns2.hosting.example.De twee lijsten moeten overeenkomen. Wijzig je de NS-records in je zone, dan verandert er bij de registry niets: nameservers wijzigen doe je bij je registrar (les 2.3). Laat de NS-records van de kale domeinnaam dus staan.
Een NS-record op een subdomein is wel iets wat je zelf kunt maken. Daarmee geef je het beheer van dat subdomein aan een andere partij:
lab.example.com. 3600 IN NS ns1.otherprovider.example.Alles onder lab.example.com wordt dan bij die andere nameserver opgevraagd. Dat heet een delegatie, precies wat een registry voor je hele domein doet.
SOA: de technische kop
Elke zone heeft precies één SOA-record (Start of Authority), op de kale domeinnaam. Veel panelen tonen het niet eens. Zo ziet het eruit:
example.com. 3600 IN SOA ns1.hosting.example. hostmaster.example.com. (
2026110701 ; serienummer
14400 ; refresh
3600 ; retry
1209600 ; expire
300 ) ; minimum| Veld | Betekent |
|---|---|
ns1.hosting.example. | De hoofdnameserver van de zone |
hostmaster.example.com. | Het e-mailadres van de beheerder, met een punt in plaats van de @: hostmaster@example.com |
| Serienummer | Een versienummer. Bij elke wijziging gaat het omhoog. Vaak in de vorm jaar-maand-dag-volgnummer. |
| Refresh, retry, expire | Hoe vaak extra nameservers bij de hoofdserver controleren of er een nieuwe versie is, hoe snel ze het opnieuw proberen, en wanneer ze stoppen met antwoorden als de hoofdserver te lang onbereikbaar is |
| Minimum | Hoe lang een resolver mag onthouden dat een naam niet bestaat (de negatieve cache, RFC 2308). Daarover meer in les 6.2. |
Het serienummer is handig bij het zoeken naar problemen. Geven twee nameservers van hetzelfde domein een ander serienummer, dan hebben ze een verschillende versie van de zone. De een geeft dan misschien al je nieuwe record, de ander nog het oude. Met een opzoektool (les 8.2) kun je het serienummer per nameserver opvragen.
TLSA: DANE voor mail
Een TLSA-record (RFC 6698) bevat een vingerafdruk van het certificaat van een server. Dat heet DANE. Een verzendende mailserver kan dan controleren of hij echt met jouw mailserver praat en niet met een indringer. DANE werkt alleen als je domein DNSSEC heeft (les 8.1). Je ziet TLSA-records onder namen als:
_25._tcp.mail.example.com. IN TLSA 3 1 1 <lange hexcode>Dat betekent: poort 25, protocol tcp, server mail.example.com. Een TLSA-record dat niet meer bij het certificaat past (bijvoorbeeld na een vernieuwing met een nieuwe sleutel), laat mail van strenge afzenders weigeren. Maak het alleen als je paneel het automatisch bijhoudt.
HTTPS en SVCB: hints voor de browser
Het HTTPS-record en zijn algemene broertje SVCB (RFC 9460) zijn nieuw. Ze geven een browser vooraf informatie, bijvoorbeeld dat de site HTTP/3 ondersteunt en op welke adressen hij draait. Dat maakt de eerste verbinding iets sneller.
example.com. 300 IN HTTPS 1 . alpn="h3,h2" ipv4hint=192.0.2.10Let op: ondanks de naam heeft het HTTPS-record niets te maken met je SSL-certificaat. Zonder HTTPS-record werkt https gewoon. Grote DNS-partijen met een eigen netwerk zetten dit record vaak automatisch. Zelf maken is zelden nodig.
DS en DNSKEY: DNSSEC
DNSKEY-records bevatten de publieke sleutels waarmee je zone is ondertekend. Het DS-record is een vingerafdruk van die sleutel en staat niet in je eigen zone, maar bij de registry. Samen vormen ze de vertrouwensketen van DNSSEC. Je beheert ze niet met de hand, maar via de DNSSEC-functie van je DNS-partij. Les 8.1 legt uit hoe het werkt en wat er misgaat bij een verhuizing.
Samenvatting
- NS-records op de kale domeinnaam laat je staan; nameservers wijzig je bij de registrar. Een NS-record op een subdomein geeft het beheer daarvan aan een ander.
- Het SOA-record is de kop van de zone, met een serienummer dat bij elke wijziging omhoog gaat. Het minimumveld bepaalt de negatieve cache.
- TLSA (DANE) koppelt een certificaat aan een server en werkt alleen met DNSSEC.
- HTTPS- en SVCB-records zijn hints voor de browser en hebben niets met je certificaat te maken.
- DS en DNSKEY horen bij DNSSEC en beheer je via de DNSSEC-functie.
Quiz
Opdracht
Z5.3 (opzoeken): Zoek het SOA-record van sidn.nl op. Vul de hoofdnameserver (het eerste veld) en het serienummer in.
Er is bij deze les geen instelopdracht: deze records maak je zelden zelf.
Verder lezen
Deze artikelen beschrijven de panelen van WebOké; in andere panelen werkt het vergelijkbaar.