Nimeserverite muutmine ja glue kirjed

Moodul 2: Nimeserverid ja tsoonid · Lugemisaeg: 8 minutit

Õpieesmärk: Pärast seda tundi oskad nimeservereid turvaliselt muuta, selgitada, mis on glue kirje, ja ära tunda, miks register võib muudatuse tagasi lükata.

Põhimõisted: nimeserveri muutmine registripidaja kaudu, glue kirje, oma nimeserverid (nt ns1.example.com), registri eeldelegatsiooni kontroll, lame delegation

Millal muuta nimeservereid?

Muudad domeeni nimeservereid siis, kui soovid viia oma DNS-i haldamise teisele osapoolele. Näiteks:

vahetad majutuspakkujat ja soovid, et uus pakkuja haldaks DNS-i;
soovid kasutada DNS-teenust nagu Cloudflare;
veebiplatvorm palub sul nimeserverid enda omadele suunata;
pöördud tagasi oma registripidaja vaikenimeserverite juurde.

See on suur samm: pärast vahetust määrab uus osapool kõik sinu domeeni kirjed, ka e-posti omad. Kui soovid, et ainult sinu veebisait või ainult e-post töötaks mujal, ei pea tavaliselt nimeservereid muutma. Siis piisab vaid mõne kirje kohandamisest (moodul 3 ja 4).

Turvaline järjekord

Tee nimekiri või varukoopia oma praegustest kirjetest. Paljudes paneelides on nupp tsooni eksportimiseks või varukoopia tegemiseks.
Vii tsoon valmis uue pakkuja juures. Vii üle kõik kirjed, mida vajad: veebisait (A, AAAA, www), e-post (MX ja postiserveri A-kirje, kui see kuulub su domeeni alla), SPF, DKIM, DMARC, kinnituskirjed, alamdomeenid.
Kontrolli uut tsooni, küsides otse uutelt nimeserveritelt, enne kui vahetad. Näiteks:
```
dig @ns1.newprovider.example example.com MX
```
Kui uued nimeserverid vastavad õigete kirjetega, on tsoon valmis.
Kas DNSSEC on sees? Korralda esmalt, kuidas võtmed kaasa lähevad. Lülita DNSSEC välja ja oota, kuni vanad DS-andmed on vahemälust kadunud, või anna uued DS-andmed edasi samaaegselt. Vastasel juhul katkeb ahel ja sinu domeen pole valideerivate resolverite jaoks kättesaadav (tund 8.1).
Muuda nimeserverid oma registripidaja juures. Sisesta vähemalt kaks. Registripidaja edastab need registrile.
Oota ja kontrolli. Resolverid jätavad vanad nimeserverid meelde kuni delegatsiooni TTL lõpuni. .nl puhul on see üks tund, .com puhul kaks päeva. Üldiselt arvesta mõne tunni kuni ühe päevaga. Hoia selle aja jooksul vana tsoon muutmata.

Miks võib register sinu nimeserverid tagasi lükata?

Mõned registrid kontrollivad su nimeservereid enne muudatuse rakendamist. Seda nimetatakse eeldelegatsiooni kontrolliks. DENIC (.de) on selle poolest tuntud: kui uued nimeserverid veel ei tunne sinu domeeni, või kui nimeserverite vastused ei klapi omavahel, lükatakse muudatus tagasi. Ka teised registrid võivad teha kontrolle või kehtestada reegleid nimeserverite arvu kohta.

Lahendus on alati sama: vii tsoon esmalt valmis uue pakkuja juures ja proovi seejärel uuesti. See on turvalise järjekorra 2. samm. .nl jaoks saad nimeservereid eelnevalt testida avaliku testiga, nagu Zonemaster.

Lame delegation

Kui registri juures olevad nimeserverid osutavad serveritele, mis sinu domeeni ei tunne, nimetatakse seda lame delegation'iks (nn "lonkav" delegatsioon). Resolver suunatakse edasi serverile, millel vastust pole. Tagajärg: sinu domeen ei tööta, või töötab ainult vahel (kui üks nimeserveritest on ikkagi korras).

See juhtub näiteks siis, kui:

muutsid nimeservereid enne, kui uuel pakkujal oli tsoon valmis;
oled lahkunud vanast pakkujast, kes on tsooni kustutanud, samal ajal kui nimeserverid osutavad ikka sellele pakkujale;
nimeserveri nimes on trükiviga.

Seda kontrollid, küsides igalt nimeserverilt eraldi. Iga nimeserver peab andma vastuse lipuga "authoritative" (dig'is näed seda kui aa flags väljal).

Oma nimeserverid ja glue kirjed

Võid kasutada ka nimeservereid, mille nimi asub sinu enda domeeni all, näiteks ns1.example.com ja ns2.example.com. Seda nimetatakse omaenda nimeserveriteks või vanity nimeserveriteks. Siis tekib kana-muna probleem:

et leida example.com, peab resolver minema ns1.example.com juurde;
aga et leida ns1.example.com IP-aadress, peab ta vaatama example.com tsooni.

Seetõttu lisab register nimeservereinimede kõrvale viitesse ka IP-aadressi. Seda lisaaadressi nimetatakse glue kirjeks (liimikirje):

; in de zone van .com, bij de registry (Verisign)
example.com.       NS  ns1.example.com.
example.com.       NS  ns2.example.com.
ns1.example.com.   A   192.0.2.53      ; glue
ns2.example.com.   A   198.51.100.53   ; glue

Glue on vajalik ainult siis, kui nimeserver kuulub domeeni enda alla (või domeeni alla, mis sõltub samast delegatsioonist). Kui kasutad ns1.hosting.example domeeni example.com jaoks, siis glue't ei ole vaja: see aadress on kirjas tsoonis hosting.example.

Glue't haldad oma registripidaja kaudu, sageli nupu alt nagu "Registreeri oma nimeserver" või "Child nameserver" või "Loo host". Kui sinu nimeserveri IP-aadress muutub, pead ka glue andmed registri juures uuendama. Vastasel juhul osutavad resolverid vanale aadressile.

Enamiku domeeni omanike jaoks pole oma nimeserverid vajalikud. Neid kasutavad peamiselt majutusettevõtted ja edasimüüjad, kes soovivad näidata oma nime.

Praktikas: nii näeb see välja paneelis

Minu WebOké's lähed Minu domeenid juurde, klõpsad domeenil ja seejärel kaardil Nameservers pliiatsi ikoonil. Täidad vähemalt kaks nimeserverit. Oma nimeserverid loo seal esmalt oma nimeserveri (glue) nupuga. Teistel registripidajatel kannab see sageli nime "Nimeserverite muutmine", "DNS-serverid" või "Custom nameservers", ning glue puhul "Child nameservers" või "Hostrecords"; väljad on samad.

Kokkuvõte

Nimeservereid muutes viid kõigi oma kirjete haldamise teisele osapoolele.
Turvaline järjekord: varukoopia, tsooni valmis viimine, uute nimeserverite testimine, DNSSEC korraldamine, alles siis vahetus.
Mõned registrid (nagu DENIC) lükkavad muudatuse tagasi, kui uutel nimeserveritel pole veel tsooni.
Lame delegation: register osutab nimeserveritele, kes domeeni ei tunne.
Glue kirjed on registri juures olevad IP-aadressid nimeserveritele, mis kuuluvad oma domeeni alla.

Test

Ülesanne

Ülesanne Z2.3: Kas kõik nimeserverid on võrdsed? Otsi üles domeeni sidn.nl nimeserverid. Küsi seejärel igalt nimeserverilt eraldi sidn.nl SOA-kirje (dig @ns1.sidn.nl sidn.nl SOA, või veebipõhine tööriist, kust saad serveri valida). Märgi iga nimeserveri kohta seerianumber ja kas need on omavahel võrdsed.

Loe rohkem

Need artiklid kirjeldavad olukorda WebOké juures. Teiste registripidajate puhul toimib see sarnaselt.

Küpsised WebOké lehel

Küpsiste seaded

Vajalikud

Turundus