Modul 5 · 5.3
NS, SOA i ostali zapisi
Modul 5: Ostali zapisi · Vrijeme čitanja: 7 minuta
Cilj lekcije: Nakon ove lekcije prepoznat ćete ostale zapise koje ćete naići u zoni i znat ćete da ih najčešće ne dirate.
Ključni pojmovi: NS u zoni, SOA (serijski broj, refresh, retry, expire, minimum), TLSA (DANE), HTTPS i SVCB, DS i DNSKEY
Zapisi koji jednostavno postoje
Kada otvorite DNS zaslon nekog domena, uz A, CNAME, MX i TXT često ćete vidjeti i nekoliko zapisa koje niste sami napravili. Većina ih postoji s dobrim razlogom, pa ih ostavite kako jesu. U ovoj lekciji naučit ćete ih prepoznati, kako se ne biste zabrinuli i slučajno ih uklonili.
| Zapis | Što radi | Mijenjati sami? |
|---|---|---|
| NS | Koji poslužitelji imena upravljaju zonom | Rijetko |
| SOA | Tehničko zaglavlje zone | Ne, to radi upravljačka ploča |
| TLSA | Fingerprint certifikata (DANE) | Samo ako koristite DANE |
| HTTPS / SVCB | Naznake za bržu, sigurniju vezu | Obično to rješava Vaš DNS pružatelj |
| DS / DNSKEY | Dijelovi DNSSEC-a | Ne, putem DNSSEC gumba |
| PTR | Od IP adrese natrag do imena | Ne u Vašoj vlastitoj zoni (lekcija 4.6) |
NS: poslužitelji imena u Vašoj vlastitoj zoni
U lekciji 2.1 vidjeli ste da registar bilježi koji poslužitelji imena pripadaju Vašem domenu. Isti ti poslužitelji imena nalaze se i u Vašoj vlastitoj zoni kao NS zapisi:
example.com. 3600 IN NS ns1.hosting.example.
example.com. 3600 IN NS ns2.hosting.example.Ta dva popisa moraju se podudarati. Ako promijenite NS zapise u svojoj zoni, kod registra se ništa ne mijenja: poslužitelje imena mijenjate kod svog registrara (lekcija 2.3). Zato NS zapise gole domene ostavite kako jesu.
NS zapis na poddomeni je ipak nešto što možete sami napraviti. Time predajete upravljanje tom poddomenom drugoj strani:
lab.example.com. 3600 IN NS ns1.otherprovider.example.Sve ispod lab.example.com tada se dohvaća kod tog drugog poslužitelja imena. To se zove delegacija, točno ono što registar radi za Vaš cijeli domen.
SOA: tehničko zaglavlje
Svaka zona ima točno jedan SOA zapis (Start of Authority), na goloj domeni. Mnoge upravljačke ploče ga uopće ne prikazuju. Izgleda ovako:
example.com. 3600 IN SOA ns1.hosting.example. hostmaster.example.com. (
2026110701 ; serijski broj
14400 ; refresh
3600 ; retry
1209600 ; expire
300 ) ; minimum| Polje | Znači |
|---|---|
ns1.hosting.example. | Glavni poslužitelj imena zone |
hostmaster.example.com. | E-mail adresa administratora, s točkom umjesto znaka @: hostmaster@example.com |
| Serijski broj | Broj verzije. Pri svakoj promjeni se povećava. Često u obliku godina-mjesec-dan-redni broj. |
| Refresh, retry, expire | Koliko često dodatni poslužitelji imena provjeravaju kod glavnog poslužitelja postoji li nova verzija, koliko brzo ponovno pokušavaju i kada prestaju odgovarati ako je glavni poslužitelj predugo nedostupan |
| Minimum | Koliko dugo resolver smije pamtiti da ime ne postoji (negativni cache, RFC 2308). Više o tome u lekciji 6.2. |
Serijski broj koristan je pri traženju problema. Ako dva poslužitelja imena istog domena pokažu različit serijski broj, imaju različitu verziju zone. Jedan tada možda već daje Vaš novi zapis, drugi još uvijek stari. Pomoću alata za provjeru (lekcija 8.2) možete dohvatiti serijski broj po poslužitelju imena.
TLSA: DANE za e-poštu
TLSA zapis (RFC 6698) sadrži fingerprint certifikata nekog poslužitelja. To se zove DANE. Poslužitelj koji šalje e-poštu tada može provjeriti razgovara li doista s Vašim poslužiteljem za e-poštu, a ne s uljezom. DANE radi samo ako Vaš domen ima DNSSEC (lekcija 8.1). TLSA zapise vidjet ćete pod imenima poput:
_25._tcp.mail.example.com. IN TLSA 3 1 1 <dugi heksadecimalni kod>To znači: port 25, protokol tcp, poslužitelj mail.example.com. TLSA zapis koji više ne odgovara certifikatu (na primjer nakon obnove s novim ključem) uzrokuje da stroži pošiljatelji odbijaju e-poštu. Napravite ga samo ako Vaša upravljačka ploča to automatski održava.
HTTPS i SVCB: naznake za preglednik
HTTPS zapis i njegov opći rođak SVCB (RFC 9460) novijeg su datuma. Oni unaprijed daju pregledniku informacije, na primjer da stranica podržava HTTP/3 i na kojim adresama radi. To čini prvu vezu malo bržom.
example.com. 300 IN HTTPS 1 . alpn="h3,h2" ipv4hint=192.0.2.10Pazite: unatoč imenu, HTTPS zapis nema nikakve veze s Vašim SSL certifikatom. Bez HTTPS zapisa https jednostavno radi. Veliki DNS pružatelji s vlastitom mrežom ovaj zapis često postavljaju automatski. Sami ga rijetko trebate izraditi.
DS i DNSKEY: DNSSEC
DNSKEY zapisi sadrže javne ključeve kojima je Vaša zona potpisana. DS zapis je fingerprint tog ključa i ne nalazi se u Vašoj vlastitoj zoni, nego kod registra. Zajedno čine lanac povjerenja DNSSEC-a. Njima ne upravljate ručno, nego putem DNSSEC funkcije Vašeg DNS pružatelja. Lekcija 8.1 objašnjava kako to funkcionira i što može poći po zlu pri prijenosu domene.
Sažetak
- NS zapise na goloj domeni ostavite kako jesu; poslužitelje imena mijenjate kod registrara. NS zapis na poddomeni predaje upravljanje njome drugoj strani.
- SOA zapis je zaglavlje zone, sa serijskim brojem koji se povećava pri svakoj promjeni. Polje minimum određuje negativni cache.
- TLSA (DANE) povezuje certifikat s poslužiteljem i radi samo uz DNSSEC.
- HTTPS i SVCB zapisi su naznake za preglednik i nemaju veze s Vašim certifikatom.
- DS i DNSKEY pripadaju DNSSEC-u, a njima upravljate putem DNSSEC funkcije.
Kviz
Zadatak
Zadatak Z5.3: SOA: administrator i negativni cache. Pronađite SOA zapis za wikipedia.org. Upišite e-mail adresu administratora (drugo polje, sa znakom @ umjesto prve točke) i vrijednost zadnjeg polja (minimum, negativni cache) u sekundama.
Uz ovu lekciju nema zadatka za postavljanje: te zapise rijetko sami izrađujete.
Dodatno štivo
Ovi članci opisuju upravljačke ploče WebOké; u drugim upravljačkim pločama postupak je sličan.