Alterar servidores de nomes e glue records

Módulo 2: Servidores de nomes e zonas · Tempo de leitura: 8 minutos

Objetivo de aprendizagem: Após esta lição, saberá alterar servidores de nomes em segurança, explicar o que é um glue record e reconhecer porque uma registry pode recusar uma alteração.

Conceitos-chave: alteração de servidores de nomes através do registrar, glue record, servidores de nomes próprios (como ns1.example.com), controlo pré-delegação pela registry, lame delegation

Quando se altera os servidores de nomes?

Altera os servidores de nomes de um domínio quando quer transferir a gestão do seu DNS para outra entidade. Por exemplo:

• muda para outro fornecedor de alojamento e quer que ele faça a gestão do DNS;
• quer utilizar um serviço de DNS como o Cloudflare;
• uma plataforma de website pede para apontar os servidores de nomes para eles;
• está a voltar aos servidores de nomes predefinidos do seu registrar.

É um passo importante: após a mudança, a nova entidade determina todos os registos do seu domínio, incluindo os do e-mail. Se quiser apenas alojar o website ou o e-mail noutro sítio, normalmente não precisa de alterar os servidores de nomes. Nesse caso, ajusta apenas alguns registos (módulos 3 e 4).

A ordem segura

1. Faça uma lista ou cópia de segurança dos seus registos atuais. Muitos painéis têm um botão para exportar a zona ou fazer uma cópia de segurança.
2. Prepare a zona junto da nova entidade. Copie todos os registos de que precisa: website (A, AAAA, www), e-mail (MX, e o registo A do servidor de correio se este estiver sob o seu domínio), SPF, DKIM, DMARC, registos de verificação, subdomínios.

3. Verifique a nova zona interrogando diretamente os novos servidores de nomes, ainda antes de fazer a mudança. Por exemplo:

   dig @ns1.newprovider.example example.com MX

   Se os novos servidores de nomes responderem com os registos corretos, a zona está pronta.

4. Tem o DNSSEC ativado? Nesse caso, resolva primeiro a forma como as chaves são transferidas. Desative o DNSSEC e aguarde até que os dados DS antigos saiam das caches, ou envie os novos dados DS ao mesmo tempo. Caso contrário, a cadeia quebra-se e o seu domínio fica inacessível para resolvers com validação (lição 8.1).
5. Altere os servidores de nomes junto do seu registrar. Preencha pelo menos dois. O registrar transmite-os à registry.
6. Aguarde e verifique. Os resolvers memorizam os servidores de nomes antigos até terminar o TTL da delegação. No .nl é uma hora, no .com são dois dias. Em geral, conte com algumas horas até um dia. Mantenha a zona antiga inalterada durante esse período.

Porque é que uma registry pode recusar os seus servidores de nomes?

Algumas registries verificam os seus servidores de nomes antes de aplicarem a alteração. Chama-se controlo pré-delegação. A DENIC (.de) é conhecida por isso: se os novos servidores de nomes ainda não conhecerem o seu domínio, ou se as respostas dos servidores de nomes não forem consistentes entre si, a alteração é recusada. Também outras registries podem fazer verificações, ou ter regras quanto ao número de servidores de nomes.

A solução é sempre a mesma: prepare primeiro a zona junto da nova entidade, e tente novamente depois. Esse é o passo 2 da ordem segura. Para o .nl, pode testar previamente os seus servidores de nomes com uma ferramenta de teste pública como a Zonemaster.

Lame delegation

Se os servidores de nomes na registry apontarem para servidores que não conhecem o seu domínio, isso chama-se uma lame delegation (uma delegação "coxa"). O resolver é reencaminhado para um servidor que não tem resposta. A consequência: o seu domínio não funciona, ou funciona apenas por vezes (se um dos servidores de nomes estiver correto).

Isto acontece, por exemplo, quando:

• alterou os servidores de nomes antes de a nova entidade ter a zona pronta;
• saiu de uma entidade antiga, que removeu a zona, enquanto os servidores de nomes ainda apontam para essa entidade;
• há um erro de digitação no nome de um servidor de nomes.

Verifica isto interrogando cada servidor de nomes separadamente. Cada servidor de nomes deve dar uma resposta, com a flag "authoritative" (no dig vê aa nas flags).

Servidores de nomes próprios e glue records

Também pode utilizar servidores de nomes com um nome sob o seu próprio domínio, como ns1.example.com e ns2.example.com. Isto chama-se servidores de nomes próprios ou vanity nameservers. Surge então um problema do tipo "ovo e galinha":

• para encontrar example.com, o resolver tem de contactar ns1.example.com;
• mas para encontrar o endereço IP de ns1.example.com, tem de consultar a zona de example.com.

Por isso, a registry inclui na delegação, além do nome do servidor de nomes, também o endereço IP. Esse endereço adicional chama-se um glue record (registo de ligação):

; na zona de .com, na registry (Verisign)
example.com.       NS  ns1.example.com.
example.com.       NS  ns2.example.com.
ns1.example.com.   A   192.0.2.53      ; glue
ns2.example.com.   A   198.51.100.53   ; glue

O glue só é necessário se o servidor de nomes estiver dentro do próprio domínio (ou dentro de um domínio que depende da mesma delegação). Se utilizar ns1.hosting.example para example.com, não é necessário glue: esse endereço está na zona de hosting.example.

O glue trata-se através do seu registrar, normalmente sob um botão como "Registar servidor de nomes próprio" ou "Child nameserver" ou "Criar Host". Se o endereço IP do seu servidor de nomes mudar, também tem de atualizar o glue junto da registry. Caso contrário, os resolvers continuam a apontar para um endereço antigo.

Para a maioria dos titulares de domínio, os servidores de nomes próprios não são necessários. São utilizados sobretudo por empresas de alojamento e revendedores que querem mostrar o seu próprio nome.

Na prática: como se apresenta num painel

n'O meu WebOké, vá a Os meus domínios, clique no domínio e clique no lápis no cartão Nameservers. Preenche pelo menos dois servidores de nomes. Os servidores de nomes próprios cria-os primeiro aí com o botão para um servidor de nomes próprio (glue). Noutros registrars, isto costuma chamar-se "Alterar servidores de nomes", "Servidores DNS" ou "Custom nameservers", e para o glue "Child nameservers" ou "Registos de Host"; os campos são os mesmos.

Resumo

• Ao alterar os servidores de nomes, transfere a gestão de todos os seus registos para outra entidade.
• Ordem segura: cópia de segurança, preparar a zona, testar os novos servidores de nomes, tratar o DNSSEC, só depois mudar.
• Algumas registries (como a DENIC) recusam uma alteração se os novos servidores de nomes ainda não tiverem a zona.
• Lame delegation: a registry aponta para servidores de nomes que não conhecem o domínio.
• Os glue records são endereços IP junto da registry para servidores de nomes que estão dentro do próprio domínio.

Quiz

Exercício

Exercício Z2.3: Serão todos os servidores de nomes iguais? Procure os servidores de nomes de sidn.nl (a website da SIDN, a registry do .nl na Holanda). Depois, interrogue cada servidor de nomes separadamente para obter o registo SOA de sidn.nl (dig @ns1.sidn.nl sidn.nl SOA, ou uma ferramenta online onde possa escolher o servidor). Preencha, para cada servidor de nomes, o número de série, e se são iguais.

Para saber mais

Estes artigos descrevem a situação na WebOké. Noutros registrars o funcionamento é semelhante.

• Manual do WebOké 5.3: Alterar servidores de nomes
• Manual do WebOké 2.4: Configurar o seu domínio: servidores de nomes, associação ao seu plano e o titular
• Utilizar nameservers próprios ou externos (como a Cloudflare) para o seu domínio
• Testar os seus nameservers, também para um domínio .nl