NS, SOA ja muud kirjed

Moodul 5: Muud kirjed · Lugemisaeg: 7 minutit

Õpieesmärk: pärast seda tundi tunned ära muud kirjed, mida tsoonis kohtad, ja tead, et tavaliselt ei pea sa neid muutma.

Põhimõisted: NS tsoonis, SOA (seerianumber, refresh, retry, expire, minimum), TLSA (DANE), HTTPS ja SVCB, DS ja DNSKEY

Kirjed, mis lihtsalt on olemas

Kui avad domeeni DNS-seadete vaate, näed lisaks A, CNAME, MX ja TXT kirjetele sageli ka mõningaid kirjeid, mida sa ise pole loonud. Enamik neist on seal heal põhjusel ja need jäta rahule. Selles tunnis õpid neid ära tundma, et sa ei ehmuks ega eemaldaks neid kogemata.

NS: nimeserverid sinu enda tsoonis

Tunnis 2.1 nägid, et register salvestab, millised nimeserverid su domeenil on. Samad nimeserverid on kirjas ka sinu enda tsoonis NS-kirjetena:

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

Need kaks nimekirja peavad omavahel kattuma. Kui muudad NS-kirjeid oma tsoonis, ei muutu registris midagi: nimeserverite muutmine käib registripidaja juures (tund 2.3). Jäta paljase domeeni NS-kirjed seega muutmata.

NS-kirje alamdomeenil on aga midagi, mida saad ise luua. Sellega annad selle alamdomeeni halduse üle teisele osapoolele:

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Kõik, mis on lab.example.com all, küsitakse siis selle teise nimeserveri käest. Seda nimetatakse delegeerimiseks, täpselt samamoodi nagu register teeb kogu sinu domeeni jaoks.

SOA: tehniline päis

Igal tsoonil on täpselt üks SOA-kirje (Start of Authority), paljase domeeni juures. Paljud haldusliidesed ei näita seda isegi. Nii see välja näeb:

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; serienummer
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

Seerianumber on probleemide otsimisel kasulik. Kui sama domeeni kaks nimeserverit annavad erineva seerianumbri, on neil tsoonist erinev versioon. Üks neist võib näidata juba sinu uut kirjet, teine veel vana. Otsinguvahendiga (tund 8.2) saad iga nimeserveri seerianumbrit eraldi vaadata.

TLSA: DANE e-posti jaoks

TLSA-kirje (RFC 6698) sisaldab serveri sertifikaadi fingerprinti. Seda nimetatakse DANE-ks. Saatev meiliserver saab siis kontrollida, kas ta räägib tõesti sinu meiliserveriga ja mitte võltsijaga. DANE töötab ainult siis, kui su domeenil on DNSSEC (tund 8.1). TLSA-kirjeid näed selliste nimede all:

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <pikk kuueteistkümnendkood>

See tähendab: port 25, protokoll tcp, server mail.example.com. TLSA-kirje, mis ei vasta enam sertifikaadile (näiteks pärast uuendamist uue võtmega), paneb rangemad saatjad kirju tagasi lükkama. Loo see ainult siis, kui su haldusliides hoiab selle automaatselt ajakohasena.

HTTPS ja SVCB: vihjed brauserile

HTTPS-kirje ja selle üldisem vend SVCB (RFC 9460) on uued. Need annavad brauserile ette teavet, näiteks et sait toetab HTTP/3-te ja millistel aadressidel see töötab. See muudab esimese ühenduse pisut kiiremaks.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Tähelepanu: nimest hoolimata ei ole HTTPS-kirjel mingit seost sinu SSL-sertifikaadiga. Ilma HTTPS-kirjeta töötab https lihtsalt tavaliselt. Suured DNS-partnerid, kellel on oma võrk, seavad selle kirje sageli automaatselt. Ise luua on vaja harva.

DS ja DNSKEY: DNSSEC

DNSKEY-kirjed sisaldavad avalikke võtmeid, millega su tsoon on signeeritud. DS-kirje on selle võtme fingerprint ja see ei asu sinu enda tsoonis, vaid registris. Koos moodustavad need DNSSEC-i usaldusahela. Sa ei halda neid käsitsi, vaid oma DNS-partneri DNSSEC-funktsiooni kaudu. Tund 8.1 selgitab, kuidas see töötab ja mis läheb valesti ülekande korral.

Kokkuvõte

• Paljase domeeni NS-kirjed jäta muutmata; nimeservereid muudad registripidaja juures. NS-kirje alamdomeenil annab selle halduse üle teisele osapoolele.
• SOA-kirje on tsooni päis, kus seerianumber tõuseb iga muudatuse korral. Minimumi väli määrab negatiivse vahemälu.
• TLSA (DANE) seob sertifikaadi serveriga ja töötab ainult koos DNSSEC-iga.
• HTTPS- ja SVCB-kirjed on vihjed brauserile ja neil pole seost su sertifikaadiga.
• DS ja DNSKEY kuuluvad DNSSEC-i juurde ja neid haldad DNSSEC-funktsiooni kaudu.

Test

Ülesanne

Ülesanne Z5.3: SOA: haldur ja negatiivne vahemälu. Otsi üles wikipedia.org SOA-kirje. Sisesta halduri e-posti aadress (teine väli, kus esimese punkti asemel on @) ja viimase välja väärtus (minimum, negatiivne vahemälu) sekundites.

Selle tunniga ei kaasne seadistamisülesannet: neid kirjeid loob inimene harva ise.

Loe edasi

Need artiklid kirjeldavad WebOké haldusliideseid; teistes haldusliidestes töötab see sarnaselt.

• DirectAdmin juhend 5.2: DNS Administration avamine ja kirjete lugemine
• WebOké juhend 5.8: DNSSEC ja DANE
• WebOké juhend 5.3: Nimeserverite muutmine