NS, SOA un citi ieraksti

Modulis 5: Citi ieraksti · Lasīšanas laiks: 7 minūtes

Mācību mērķis: Pēc šīs nodarbības Jūs atpazīsiet pārējos ierakstus, kas sastopami zonā, un zināsiet, ka tos parasti nevajag aiztikt.

Pamatjēdzieni: NS zonā, SOA (sērijas numurs, refresh, retry, expire, minimum), TLSA (DANE), HTTPS un SVCB, DS un DNSKEY

Ieraksti, kas vienkārši ir tur

Atverot domēna DNS ekrānu, blakus A, CNAME, MX un TXT ierakstiem bieži redzat vēl pāris ierakstus, kurus neesat paši izveidojuši. Lielākā daļa no tiem ir tur labā iemesla dēļ, un Jums tie jāatstāj kā ir. Šajā nodarbībā iemācīsities tos atpazīt, lai nebūtu pārsteigti un nejauši tos nenodzēstu.

NS: vārdu serveri Jūsu pašu zonā

2.1. nodarbībā redzējāt, ka reģistrs fiksē, kuri vārdu serveri ir piesaistīti Jūsu domēnam. Tie paši vārdu serveri parādās arī Jūsu pašu zonā kā NS ieraksti:

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

Abiem sarakstiem jāsakrīt. Ja mainīsiet NS ierakstus savā zonā, pie reģistra nekas nemainīsies: vārdu serverus maināt pie sava reģistratora (2.3. nodarbība). Tāpēc pamata domēna NS ierakstus atstājiet neskartus.

Savukārt NS ierakstu uz apakšdomēna gan varat izveidot pats. Ar to Jūs nododat tā apakšdomēna pārvaldību citai pusei:

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Viss, kas atrodas zem lab.example.com, tad tiks pieprasīts no tā cita vārdu servera. To sauc par deleģēšanu, tieši to pašu, ko reģistrs dara ar visu Jūsu domēnu.

SOA: tehniskā galvene

Katrai zonai ir tieši viens SOA ieraksts (Start of Authority), uz pamata domēna. Daudzi paneļi to pat nerāda. Tas izskatās šādi:

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; sērijas numurs
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

Sērijas numurs ir noderīgs, meklējot problēmas. Ja divi tā paša domēna vārdu serveri uzrāda atšķirīgu sērijas numuru, tiem ir atšķirīga zonas versija. Iespējams, viens jau rāda Jūsu jauno ierakstu, bet otrs vēl veco. Ar meklēšanas rīku (8.2. nodarbība) varat uzzināt sērijas numuru katram vārdu serverim atsevišķi.

TLSA: DANE e-pastam

TLSA ieraksts (RFC 6698) satur servera sertifikāta fingerprint. To sauc par DANE. Nosūtītāja pasta serveris tad var pārbaudīt, vai patiešām sazinās ar Jūsu pasta serveri, nevis ar uzbrucēju. DANE darbojas tikai tad, ja Jūsu domēnam ir iestatīts DNSSEC (8.1. nodarbība). TLSA ierakstus redzēsiet zem tādiem nosaukumiem kā:

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <garš heksadecimālais kods>

Tas nozīmē: ports 25, protokols tcp, serveris mail.example.com. TLSA ieraksts, kas vairs neatbilst sertifikātam (piemēram, pēc atjaunošanas ar jaunu atslēgu), liek stingrajiem sūtītājiem noraidīt pastu. Veidojiet to tikai tad, ja Jūsu panelis to atjauno automātiski.

HTTPS un SVCB: norādes pārlūkprogrammai

HTTPS ieraksts un tā vispārīgākais brālis SVCB (RFC 9460) ir jauni. Tie iepriekš sniedz pārlūkprogrammai informāciju, piemēram, ka vietne atbalsta HTTP/3 un kādās adresēs tā darbojas. Tas padara pirmo savienojumu nedaudz ātrāku.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Ņemiet vērā: neskatoties uz nosaukumu, HTTPS ierakstam nav nekāda sakara ar Jūsu SSL sertifikātu. Bez HTTPS ieraksta https turpina darboties kā parasti. Lielie DNS pakalpojumu sniedzēji ar savu tīklu šo ierakstu bieži iestata automātiski. Pašrocīga izveide reti ir vajadzīga.

DS un DNSKEY: DNSSEC

DNSKEY ieraksti satur publiskās atslēgas, ar kurām ir parakstīta Jūsu zona. DS ieraksts ir šīs atslēgas fingerprint, un tas atrodas nevis Jūsu pašu zonā, bet gan pie reģistra. Kopā tie veido DNSSEC uzticības ķēdi. Jūs tos nepārvaldāt manuāli, bet gan caur sava DNS pakalpojuma sniedzēja DNSSEC funkciju. 8.1. nodarbībā paskaidrots, kā tas darbojas un kas var iet greizi domēna pārsūtīšanas laikā.

Kopsavilkums

• NS ierakstus uz pamata domēna atstājiet neskartus; vārdu serverus maināt pie reģistratora. NS ieraksts uz apakšdomēna nodod tā pārvaldību citai pusei.
• SOA ieraksts ir zonas galvene, ar sērijas numuru, kas ar katru izmaiņu palielinās. Minimuma lauks nosaka negatīvo kešatmiņu.
• TLSA (DANE) sasaista sertifikātu ar serveri un darbojas tikai ar DNSSEC.
• HTTPS un SVCB ieraksti ir norādes pārlūkprogrammai un nav saistīti ar Jūsu sertifikātu.
• DS un DNSKEY pieder DNSSEC un tos pārvaldāt caur DNSSEC funkciju.

Tests

Uzdevums

Uzdevums Z5.3: SOA: administrators un negatīvā kešatmiņa. Atrodiet wikipedia.org SOA ierakstu. Ievadiet administratora e-pasta adresi (otrais lauks, ar @ pirmā punkta vietā) un pēdējā lauka vērtību (minimum, negatīvā kešatmiņa) sekundēs.

Šai nodarbībai nav iestatīšanas uzdevuma: šos ierakstus reti veidojat pats.

Lasiet vairāk

Šie raksti apraksta WebOké paneļus; citos paneļos tas darbojas līdzīgi.

• DirectAdmin rokasgrāmata 5.2: DNS Administration atvēršana un ierakstu lasīšana
• WebOké rokasgrāmata 5.8: DNSSEC un DANE
• WebOké rokasgrāmata 5.3: Mainīt vārdu serverus