NS, SOA a ostatné záznamy

Modul 5: Ostatné záznamy · Čas čítania: 7 min

Cieľ lekcie: Po tejto lekcii rozpoznáte ostatné záznamy, s ktorými sa v zóne stretnete, a budete vedieť, že sa ich väčšinou netreba dotýkať.

Kľúčové pojmy: NS v zóne, SOA (sériové číslo, refresh, retry, expire, minimum), TLSA (DANE), HTTPS a SVCB, DS a DNSKEY

Záznamy, ktoré tam jednoducho sú

Keď otvoríte obrazovku DNS pre nejakú doménu, uvidíte okrem A, CNAME, MX a TXT často aj pár záznamov, ktoré ste sami nevytvorili. Väčšina z nich tam je z dobrého dôvodu a mali by ste ich nechať tak. V tejto lekcii sa naučíte ich rozpoznať, aby ste sa nezľakli a nevymazali ich omylom.

NS: menné servery vo vašej vlastnej zóne

V lekcii 2.1 ste videli, že register zaznamenáva, ktoré menné servery vaša doména používa. Tie isté menné servery sa nachádzajú aj vo vašej vlastnej zóne ako záznamy NS:

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

Oba zoznamy musia súhlasiť. Ak zmeníte záznamy NS vo svojej zóne, v registri sa nič nezmení: menné servery sa menia u vášho registrátora (lekcia 2.3). Záznamy NS pre holú doménu (apex) teda nechajte tak.

Záznam NS na subdoméne je naopak niečo, čo si môžete vytvoriť sami. Tým odovzdáte správu danej subdomény inej strane:

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Všetko pod lab.example.com sa potom vyhľadáva na danom inom mennom serveri. To sa nazýva delegácia, presne to isté, čo register robí pre celú vašu doménu.

SOA: technická hlavička

Každá zóna má presne jeden záznam SOA (Start of Authority), na holej doméne. Mnohé panely ho ani nezobrazujú. Vyzerá takto:

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; sériové číslo
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

Sériové číslo sa hodí pri riešení problémov. Ak dva menné servery tej istej domény uvádzajú odlišné sériové číslo, majú rozdielnu verziu zóny. Jeden možno už odovzdáva váš nový záznam, druhý ešte starý. Pomocou vyhľadávacieho nástroja (lekcia 8.2) môžete sériové číslo overiť pre každý menný server zvlášť.

TLSA: DANE pre poštu

Záznam TLSA (RFC 6698) obsahuje odtlačok prsta certifikátu servera. Volá sa to DANE. Odosielajúci poštový server tak môže overiť, či naozaj komunikuje s vaším poštovým serverom, a nie s votrelcom. DANE funguje len vtedy, ak má vaša doména zapnutý DNSSEC (lekcia 8.1). Záznamy TLSA nájdete pod názvami ako:

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <dlhý hexakód>

To znamená: port 25, protokol tcp, server mail.example.com. Ak záznam TLSA už nesedí s certifikátom (napríklad po obnove s novým kľúčom), poštu od prísnych odosielateľov to spôsobí, že bude odmietnutá. Vytvárajte ho len vtedy, ak si ho váš panel udržuje automaticky.

HTTPS a SVCB: rady pre prehliadač

Záznam HTTPS a jeho všeobecnejší príbuzný SVCB (RFC 9460) sú novinkou. Dávajú prehliadaču vopred informácie, napríklad že stránka podporuje HTTP/3 a na akých adresách beží. Vďaka tomu je prvé pripojenie o niečo rýchlejšie.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Pozor: napriek názvu nemá záznam HTTPS nič spoločné s vaším SSL certifikátom. Bez záznamu HTTPS funguje https úplne bežne. Veľkí poskytovatelia DNS s vlastnou sieťou tento záznam často nastavujú automaticky. Vytvárať ho sami je potrebné len zriedka.

DS a DNSKEY: DNSSEC

Záznamy DNSKEY obsahujú verejné kľúče, ktorými je vaša zóna podpísaná. Záznam DS je odtlačok prsta daného kľúča a nenachádza sa vo vašej vlastnej zóne, ale v registri. Spolu tvoria reťazec dôvery DNSSEC. Nespravujete ich ručne, ale cez funkciu DNSSEC u svojho poskytovateľa DNS. Lekcia 8.1 vysvetľuje, ako to funguje a čo sa môže pokaziť pri prevode domény.

Zhrnutie

• Záznamy NS na holej doméne nechajte tak; menné servery meníte u registrátora. Záznam NS na subdoméne odovzdáva jej správu inej strane.
• Záznam SOA je hlavička zóny, so sériovým číslom, ktoré sa pri každej zmene zvyšuje. Pole minimum určuje negatívnu cache.
• TLSA (DANE) spája certifikát so serverom a funguje len s DNSSEC.
• Záznamy HTTPS a SVCB sú rady pre prehliadač a nemajú nič spoločné s vaším certifikátom.
• DS a DNSKEY patria k DNSSEC a spravujete ich cez funkciu DNSSEC.

Kvíz

Úloha

Úloha Z5.3: SOA: správca a negatívna cache. Vyhľadajte záznam SOA domény wikipedia.org. Vyplňte e-mailovú adresu správcu (druhé pole, s @ namiesto prvej bodky) a hodnotu posledného poľa (minimum, negatívna cache) v sekundách.

Pri tejto lekcii nie je nastavovacia úloha: tieto záznamy si sami vytvárate len zriedka.

Ďalšie čítanie

Tieto články popisujú panely WebOké; v iných paneloch to funguje podobne.

• Návod na DirectAdmin 5.2: Otvorenie DNS správy a čítanie záznamov
• Príručka WebOké 5.8: DNSSEC a DANE
• Príručka WebOké 5.3: Zmeniť menné servery