7. modulis · 7.1

DNS uz Jūsu VPS un reversais DNS

7. modulis: Domēns, tīmekļa serveris un https · Lasīšanas laiks: 10 min.

Mācīšanās mērķis: Pēc šīs nodarbības Jūs varēsiet novirzīt domēnu vai apakšdomēnu uz savu VPS ar A un AAAA ierakstiem, pareizi iestatīt sava servera reverso DNS un pārbaudīt, vai nosaukums un adrese sakrīt abos virzienos.

Pamatjēdzieni: A ieraksts, AAAA ieraksts, TTL, apakšdomēns katram pakalpojumam, www, servera resursdatora nosaukums, PTR, reversais DNS, forward-confirmed reverse DNS (FCrDNS), CAA, aizmirsts IPv6

No IP adreses uz nosaukumu

Līdz šim Jūs piekļuvāt savam serverim ar tā IP adresi, piemēram, ssh anna@192.0.2.10. Vietnei, sertifikātam (nodarbība 7.3) un 9. moduļa pakalpojumiem Jums ir vajadzīgs nosaukums. Šo sasaisti Jūs izveidojat sava domēna DNS pie tā, kas pārvalda Jūsu DNS: Jūsu reģistratora, hostinga uzņēmuma vai DNS pakalpojuma. Pašam VPS ar to nav nekāda sakara; Jūsu serveris "nezina", kuri nosaukumi uz to norāda.

DNS pamatus Jūs apguvāt DNS kursā. VPS gadījumā Jums galvenokārt ir vajadzīgi divi ierakstu veidi:

Ieraksts	Kas	Piemērs
A	nosaukums uz IPv4 adresi	`web1.example.com. 3600 IN A 192.0.2.10`
AAAA	nosaukums uz IPv6 adresi	`web1.example.com. 3600 IN AAAA 2001:db8::10`

Jūsu VPS parasti ir gan fiksēta IPv4, gan IPv6 adrese. Tādā gadījumā iestatiet abus ierakstus. Apmeklētāji ar IPv6 (Nīderlandē liela daļa mājsaimniecību pieslēgumu un mobilo tīklu) tad izmanto IPv6, pārējie IPv4.

Kādus nosaukumus izveidot?

Ierasts sadalījums VPS ar vietni un dažiem pakalpojumiem:

web1.example.com.       A     192.0.2.10        ; pats serveris (resursdatora nosaukums, PTR)
web1.example.com.       AAAA  2001:db8::10
example.com.            A     192.0.2.10        ; vietne
example.com.            AAAA  2001:db8::10
www.example.com.        CNAME example.com.
status.example.com.     CNAME web1.example.com. ; Uptime Kuma (nodarbība 9.4)
kluis.example.com.      CNAME web1.example.com. ; Vaultwarden (nodarbība 9.4)

Šeit ir ietvertas dažas izvēles:

Serverim ir savs nosaukums (web1), neatkarīgi no vietnes. Šo nosaukumu Jūs izmantojat SSH, reversajam DNS un kā sistēmas resursdatora nosaukumu. Ja vietne vēlāk pāriet uz citu serveri, web1 joprojām ir pareizs.
Apakšdomēns katram pakalpojumam. Uptime Kuma un Vaultwarden katrs saņem savu nosaukumu. Tas ir daudz vienkāršāk (un drošāk) nekā novietot pakalpojumus zem ceļa, piemēram, example.com/kluis: katrs pakalpojums saņem savu sertifikātu, sīkdatnes nesajaucas, un vēlāk pakalpojumu var pārvietot uz citu serveri, mainot vienu ierakstu.
CNAME apakšdomēniem. CNAME uz web1 nozīmē: ja servera IP adrese mainās, Jūs pielāgojat tikai web1 ierakstus. Uz tukšā domēna nosaukuma (example.com) CNAME nedrīkst būt; tur Jūs iestatāt A un AAAA.

Pašas sistēmas resursdatora nosaukumu Jūs iestatāt serverī:

anna@web1:~$ sudo hostnamectl set-hostname web1.example.com
anna@web1:~$ hostname -f
web1.example.com

Pārbaudiet arī, vai /etc/hosts nesatur vecu nosaukumu. Pareizs resursdatora nosaukums ir īpaši svarīgs, ja serveris kādreiz sūta e-pastu.

TTL: cik ātri izmaiņas ir redzamas visur

TTL (time to live) ir sekunžu skaits, cik ilgi rezolveri drīkst atcerēties atbildi. Pie 3600 var paiet līdz stundai, līdz visi redz jaunu adresi. Ja plānojat pārcelt vietni uz savu VPS, dienu iepriekš iestatiet TTL uz 300 (piecas minūtes), nogaidiet vismaz veco TTL, nomainiet adresi un pēc tam atkal paaugstiniet TTL. Tas ir tieši rīcības plāns no DNS kursa nodarbības 6.3.

Ar dig (DNS kursa nodarbība 8.2) pārbaudiet, ko redz pārējais internets, un vaicājiet publiskam rezolverim, nevis savam datoram:

anna@laptop:~$ dig +short A example.com @1.1.1.1
192.0.2.10
anna@laptop:~$ dig +short AAAA example.com @1.1.1.1
2001:db8::10

Windows vidē: Resolve-DnsName example.com -Type AAAA -Server 1.1.1.1.

Slazds: AAAA ieraksts bez strādājoša IPv6

Ja iestatāt AAAA ierakstu, pakalpojumam patiešām jābūt sasniedzamam caur IPv6. Bieža kļūda: ieraksts ir, bet tīmekļa serveris klausās tikai IPv4, vai ugunsmūris nelaiž cauri IPv6 (nodarbība 5.2), vai IPv6 VPS nav iestatīts. Apmeklētāji ar IPv6 tad redz lēnu vai nestrādājošu vietni, kamēr Jums tā "vienkārši strādā", jo mājās Jums, iespējams, ir tikai IPv4. Arī Let's Encrypt vispirms mēģina IPv6, ja ir AAAA ieraksts (nodarbība 7.3). Ja Jūsu serveris caur IPv6 sniedz citu atbildi nekā caur IPv4, sertifikāta pieprasījums neizdodas.

Tāpēc pārbaudiet IPv6 atsevišķi no citas iekārtas ar IPv6: curl -6 -I https://example.com. Ja Jums pašiem nav IPv6, izmantojiet tiešsaistes testu, piemēram, internet.nl.

Reversais DNS: no adreses atpakaļ uz nosaukumu

Reversais DNS sasaista IP adresi atpakaļ ar nosaukumu, izmantojot PTR ierakstu (DNS kursa nodarbība 4.6). Šis ieraksts neatrodas Jūsu domēna zonā, bet IP adreses zonā, un to pārvalda tas, kam pieder adrese: Jūsu VPS pakalpojumu sniedzējs. Tāpēc PTR Jūs iestatāt pakalpojumu sniedzēja panelī, nevis savā DNS.

Kāpēc to darīt?

E-pasts. Saņēmēju pasta serveri noraida vai neuzticas e-pastam no adreses bez pareiza reversā DNS. Ja Jūsu VPS sūta e-pastu (pat ja tikai paziņojumu no veidlapas), tas ir obligāti (skatiet kursu E-pasts kārtībā, nodarbība 5.1).
Atpazīstamība. Žurnālos un traceroute citi redz web1.example.com, nevis vispārīgu pakalpojumu sniedzēja nosaukumu.
Kārtīgums. Daži pakalpojumi un surogātpasta filtri piešķir soda punktus adresēm ar vispārīgu vai trūkstošu PTR.

Noteikums ir forward-confirmed reverse DNS (FCrDNS): adrese ar PTR norāda uz nosaukumu, un šis nosaukums ar A vai AAAA atkal norāda uz to pašu adresi. Tātad vispirms izveidojiet A un AAAA ierakstu, tad pieprasiet PTR, gan IPv4, gan IPv6.

anna@laptop:~$ dig +short -x 192.0.2.10
web1.example.com.
anna@laptop:~$ dig +short A web1.example.com
192.0.2.10
anna@laptop:~$ dig +short -x 2001:db8::10
web1.example.com.
anna@laptop:~$ dig +short AAAA web1.example.com
2001:db8::10

Ja visos četros gadījumos atgriežas gaidītā atbilde, tad abos virzienos viss sakrīt.

CAA: kas drīkst izsniegt sertifikātus?

Ar CAA ierakstu (DNS kursa nodarbība 5.2) Jūs norādāt, kuri sertifikātu izdevēji drīkst izsniegt sertifikātus Jūsu domēnam. Ja izmantojat tikai Let's Encrypt:

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"

Tas nav obligāti, bet ir kārtīgs papildu slānis. Uzmanību: ja Jums jau ir CAA ieraksts ar citu izdevēju, Let's Encrypt Jūsu pieprasījumu noraidīs. Tāpēc vispirms pārbaudiet ar dig CAA example.com.

Praksē: reversais DNS VPS ekrānā

WebOké reverso DNS Jūs iestatāt VPS ekrānā, cilnē "ISO un rDNS". Ja arī Jūsu domēna DNS ir WebOké, panelis var uzreiz izveidot A un AAAA ierakstu Jūsu vietā; ja DNS ir citur, vispirms paši izveidojiet šos ierakstus un pēc tam ievadiet pilno nosaukumu. Pie citiem pakalpojumu sniedzējiem klientu panelī tas saucas "Reverse DNS", "rDNS" vai "PTR"; dažiem tas jāpieprasa ar pieteikumu. Visur tas darbojas vienādi: vispirms nosaukums uz adresi, tad adrese uz nosaukumu.

Kopsavilkums

Nosaukumu ar savu VPS Jūs sasaistāt ar A ierakstu (IPv4) un AAAA ierakstu (IPv6) sava domēna DNS.
Piešķiriet serverim savu nosaukumu (web1.example.com) un katram pakalpojumam savu apakšdomēnu; CNAME ieraksti uz servera nosaukumu atvieglo pārcelšanu.
Pirms pārcelšanas samaziniet TTL un pārbaudiet ar dig pie publiska rezolvera.
Neiestatiet AAAA ierakstu, ja pakalpojums patiešām nestrādā caur IPv6; pārbaudiet IPv6 atsevišķi.
PTR Jūs iestatāt pie sava VPS pakalpojumu sniedzēja; abos virzienos jāsakrīt (FCrDNS), gan IPv4, gan IPv6.

Tests (quiz)

Uzdevums

Uzdevums Z7.1: Jūsu servera A, AAAA un PTR. Piešķiriet serverim savu nosaukumu (piemēram, web1.<jouwdomein>), izveidojiet A un AAAA ierakstu un iestatiet reverso DNS pie sava pakalpojumu sniedzēja. Uzdevumā ievadiet sava servera nosaukumu, IPv4 un IPv6 adresi, kā arī nosaukumu, ko ar dig -x saņēmāt abām adresēm. Programma tiešsaistē pieprasa A un AAAA ierakstus un abu adrešu PTR un pārbauda, vai viss sakrīt abos virzienos. Ja Jūsu serverim nav IPv6, tā pārbauda tikai IPv4 un par to paziņo oranžā krāsā.

Sīkdatnes WebOké vietnē

Sīkdatņu iestatījumi

Nepieciešamās

Mārketings