Módulo 5 · 5.3
NS, SOA e outros registos
Módulo 5: Outros registos · Tempo de leitura: 7 minutos
Objetivo de aprendizagem: Depois desta lição reconhece os outros registos que encontra numa zona, e sabe que normalmente não lhes deve tocar.
Conceitos-chave: NS na zona, SOA (número de série, refresh, retry, expire, minimum), TLSA (DANE), HTTPS e SVCB, DS e DNSKEY
Registos que estão simplesmente lá
Ao abrir o ecrã de DNS de um domínio, vê frequentemente, além de A, CNAME, MX e TXT, alguns registos que não criou você mesmo. A maioria está lá por um bom motivo, e deve deixá-los ficar. Nesta lição aprende a reconhecê-los, para não se assustar e não os remover por engano.
| Registo | O que faz | Alterar você mesmo? |
|---|---|---|
| NS | Quais os servidores de nomes que gerem a zona | Raramente |
| SOA | O cabeçalho técnico da zona | Não, isso é feito pelo painel |
| TLSA | Impressão digital de um certificado (DANE) | Só se usar DANE |
| HTTPS / SVCB | Dicas para uma ligação mais rápida e segura | Normalmente é o seu fornecedor de DNS que trata disso |
| DS / DNSKEY | Componentes do DNSSEC | Não, através do botão do DNSSEC |
| PTR | Do endereço IP de volta ao nome | Não na sua própria zona (lição 4.6) |
NS: os servidores de nomes na sua própria zona
Na lição 2.1 viu que a registry regista quais os servidores de nomes que o seu domínio tem. Esses mesmos servidores de nomes também constam na sua própria zona como registos NS:
example.com. 3600 IN NS ns1.hosting.example.
example.com. 3600 IN NS ns2.hosting.example.As duas listas têm de coincidir. Se alterar os registos NS na sua zona, nada muda na registry: os servidores de nomes alteram-se junto do seu registrar (lição 2.3). Deixe, portanto, os registos NS do domínio raiz (apex) como estão.
Um registo NS num subdomínio já é algo que pode criar você mesmo. Com isso entrega a gestão desse subdomínio a outra entidade:
lab.example.com. 3600 IN NS ns1.otherprovider.example.Tudo o que estiver sob lab.example.com passa então a ser consultado nesse outro servidor de nomes. A isto chama-se uma delegação, exatamente o que uma registry faz para todo o seu domínio.
SOA: o cabeçalho técnico
Cada zona tem exatamente um registo SOA (Start of Authority), no domínio raiz (apex). Muitos painéis nem sequer o mostram. É assim que se apresenta:
example.com. 3600 IN SOA ns1.hosting.example. hostmaster.example.com. (
2026110701 ; número de série
14400 ; refresh
3600 ; retry
1209600 ; expire
300 ) ; minimum| Campo | Significado |
|---|---|
ns1.hosting.example. | O servidor de nomes principal da zona |
hostmaster.example.com. | O endereço de e-mail do administrador, com um ponto em vez do @: hostmaster@example.com |
| Número de série | Um número de versão. A cada alteração, sobe. Frequentemente no formato ano-mês-dia-sequência. |
| Refresh, retry, expire | Com que frequência os servidores de nomes secundários verificam junto do servidor principal se há uma nova versão, com que rapidez voltam a tentar, e quando param de responder se o servidor principal estiver inacessível demasiado tempo |
| Minimum | Durante quanto tempo um resolver pode guardar em memória que um nome não existe (a cache negativa, RFC 2308). Mais sobre isto na lição 6.2. |
O número de série é útil na procura de problemas. Se dois servidores de nomes do mesmo domínio indicarem um número de série diferente, têm uma versão diferente da zona. Um poderá já mostrar o seu novo registo, o outro ainda o antigo. Com uma ferramenta de consulta (lição 8.2) pode consultar o número de série por servidor de nomes.
TLSA: DANE para e-mail
Um registo TLSA (RFC 6698) contém uma impressão digital do certificado de um servidor. A isto chama-se DANE. Um servidor de correio que envia pode então verificar se está realmente a comunicar com o seu servidor de correio e não com um intruso. O DANE só funciona se o seu domínio tiver DNSSEC (lição 8.1). Vê registos TLSA sob nomes como:
_25._tcp.mail.example.com. IN TLSA 3 1 1 <código hexadecimal longo>Isto significa: porta 25, protocolo tcp, servidor mail.example.com. Um registo TLSA que já não corresponda ao certificado (por exemplo, após uma renovação com uma nova chave) faz com que remetentes rigorosos recusem o correio. Crie-o apenas se o seu painel o mantiver automaticamente atualizado.
HTTPS e SVCB: dicas para o browser
O registo HTTPS e o seu irmão mais genérico SVCB (RFC 9460) são recentes. Dão ao browser informação antecipada, por exemplo que o site suporta HTTP/3 e em que endereços funciona. Isso torna a primeira ligação um pouco mais rápida.
example.com. 300 IN HTTPS 1 . alpn="h3,h2" ipv4hint=192.0.2.10Atenção: apesar do nome, o registo HTTPS não tem nada a ver com o seu certificado SSL. Sem registo HTTPS, o https funciona na mesma. Os grandes fornecedores de DNS com rede própria colocam frequentemente este registo de forma automática. Raramente é necessário criá-lo você mesmo.
DS e DNSKEY: DNSSEC
Os registos DNSKEY contêm as chaves públicas com que a sua zona está assinada. O registo DS é uma impressão digital dessa chave e não está na sua própria zona, mas sim na registry. Juntos formam a cadeia de confiança do DNSSEC. Não os gere manualmente, mas sim através da função DNSSEC do seu fornecedor de DNS. A lição 8.1 explica como funciona e o que pode correr mal numa transferência de domínio.
Resumo
- Os registos NS no domínio raiz (apex) devem ficar como estão; os servidores de nomes alteram-se junto do registrar. Um registo NS num subdomínio entrega a gestão deste a outra entidade.
- O registo SOA é o cabeçalho da zona, com um número de série que sobe a cada alteração. O campo minimum determina a cache negativa.
- O TLSA (DANE) associa um certificado a um servidor e só funciona com DNSSEC.
- Os registos HTTPS e SVCB são dicas para o browser e não têm nada a ver com o seu certificado.
- O DS e o DNSKEY pertencem ao DNSSEC e são geridos através da função DNSSEC.
Quiz
Exercício
Exercício Z5.3: SOA: administrador e cache negativa. Consulte o registo SOA de wikipedia.org. Indique o endereço de e-mail do administrador (o segundo campo, com um @ em vez do primeiro ponto) e o valor do último campo (minimum, a cache negativa) em segundos.
Não existe nesta lição um exercício de configuração: estes registos raramente são criados por si mesmo.
Para saber mais
Estes artigos descrevem os painéis da WebOké; noutros painéis o funcionamento é semelhante.