2. modul · 2.3
Névszerverek módosítása és glue rekordok
2. modul: Névszerverek és zónák · Olvasási idő: 8 perc
Tanulási cél: Ennek a leckének a végén Ön biztonságosan tud névszervereket módosítani, el tudja magyarázni, mi az a glue rekord, és fel tudja ismerni, miért utasíthat el egy registry egy módosítást.
Kulcsfogalmak: névszerver módosítása a regisztrátoron keresztül, glue rekord, saját névszerverek (mint például ns1.example.com), predelegációs ellenőrzés a registry részéről, lame delegation
Mikor módosítson névszervereket?
A névszervereket akkor módosítja, ha a DNS kezelését egy másik félhez szeretné átvinni. Például:
- másik tárhelyszolgáltatóhoz vált, és azt szeretné, hogy az kezelje a DNS-t;
- egy DNS-szolgáltatást szeretne használni, mint például a Cloudflare;
- egy weboldal-platform arra kéri Önt, hogy állítsa át a névszervereket az ő rendszerükre;
- visszaáll a regisztrátora alapértelmezett névszervereire.
Ez egy nagy lépés: a váltás után az új fél határozza meg a domainje összes rekordját, beleértve az e-mailhez tartozókat is. Ha csak a weboldalát vagy csak a levelezését szeretné máshol futtatni, akkor általában nem kell módosítania a névszervereket. Ilyenkor csak néhány rekordot kell beállítania (3. és 4. modul).
A biztonságos sorrend
- Készítsen listát vagy biztonsági mentést a jelenlegi rekordjairól. Sok kezelőfelületen van egy gomb a zóna exportálására vagy biztonsági mentés készítésére.
- Állítsa be a zónát az új szolgáltatónál. Vegye át az összes rekordot, amelyre szüksége van: weboldal (A, AAAA, www), levelezés (MX, és a levelezőszerver A-rekordja, ha az a saját domainje alá tartozik), SPF, DKIM, DMARC, ellenőrző rekordok, aldomainek.
Ellenőrizze az új zónát úgy, hogy közvetlenül az új névszervereket kérdezi le, még a váltás előtt. Például:
dig @ns1.newprovider.example example.com MXHa az új névszerverek a megfelelő rekordokkal válaszolnak, a zóna készen áll.
- Be van kapcsolva a DNSSEC? Akkor előbb rendezze, hogyan kerülnek át a kulcsok. Kapcsolja ki a DNSSEC-et, és várjon, amíg a régi DS-adatok kikerülnek a gyorsítótárakból, vagy adja át egyszerre az új DS-adatokat. Máskülönben megszakad a lánc, és a domainje elérhetetlen lesz a validáló rekurzív névfeloldók számára (8.1. lecke).
- Módosítsa a névszervereket a regisztrátoránál. Legalább kettőt adjon meg. A regisztrátor továbbítja ezeket a registry felé.
- Várjon, és ellenőrizze. A rekurzív névfeloldók megjegyzik a régi névszervereket, amíg a delegáció TTL-je le nem jár. A
.nlesetében ez egy óra, a.comesetében két nap. Általánosságban néhány órától egy napig számoljon vele. Addig hagyja változatlanul a régi zónát.
Miért utasíthatja el egy registry a névszervereit?
Egyes registryk ellenőrzik a névszervereket, mielőtt végrehajtanák a módosítást. Ezt predelegációs ellenőrzésnek nevezik. A DENIC (.de) erről ismert: ha az új névszerverek még nem ismerik a domainjét, vagy a névszerverek válaszai nem egyeznek egymással, a módosítást elutasítják. Más registryk is végezhetnek ellenőrzéseket, vagy lehetnek szabályaik a névszerverek számára vonatkozóan.
A megoldás mindig ugyanaz: előbb állítsa be a zónát az új szolgáltatónál, és utána próbálja újra. Ez a biztonságos sorrend 2. lépése. A .nl esetében előre tesztelheti a névszervereit egy nyilvános teszttel, mint például a Zonemaster.
Lame delegation
Ha a registrynél szereplő névszerverek olyan szerverekre mutatnak, amelyek nem ismerik a domainjét, azt lame delegationnek nevezzük ("béna" delegáció). A rekurzív névfeloldót olyan szerverhez irányítják, amelynek nincs válasza. Ennek következménye: a domainje nem működik, vagy csak időnként (ha az egyik névszerver mégis helyes).
Ez például akkor fordul elő, ha:
- módosította a névszervereket, mielőtt az új szolgáltatónál elkészült volna a zóna;
- elhagyta egy korábbi szolgáltatót, amely törölte a zónát, miközben a névszerverek még mindig arra a szolgáltatóra mutatnak;
- elgépelés van egy névszerver nevében.
Ezt úgy ellenőrizheti, hogy minden névszervert külön-külön lekérdez. Minden névszervernek választ kell adnia, az "authoritative" jelzéssel (a dig kimenetében ezt az aa jelzőként látja a flags mezőben).
Saját névszerverek és glue rekordok
Használhat olyan névszervereket is, amelyek neve a saját domainje alá tartozik, mint például ns1.example.com és ns2.example.com. Ezt saját névszervereknek vagy vanity névszervereknek nevezzük. Ekkor egy tyúk-tojás probléma keletkezik:
- az
example.comfelkereséséhez a rekurzív névfeloldónak azns1.example.comszerverhez kell fordulnia; - de az
ns1.example.comIP-címének megtalálásához meg kell néznie azexample.comzónáját.
Ezért a registry a névszerver neve mellett az IP-címet is elhelyezi a hivatkozásban. Ezt a kiegészítő címet glue rekordnak nevezzük (ragasztórekord):
; in de zone van .com, bij de registry (Verisign)
example.com. NS ns1.example.com.
example.com. NS ns2.example.com.
ns1.example.com. A 192.0.2.53 ; glue
ns2.example.com. A 198.51.100.53 ; glueGlue rekord csak akkor szükséges, ha a névszerver magán a domainen belül található (vagy egy olyan domainen belül, amely ugyanattól a delegációtól függ). Ha az ns1.hosting.example szervert használja az example.com domainhez, akkor nincs szükség glue rekordra: ez a cím a hosting.example zónájában szerepel.
A glue rekordot a regisztrátorán keresztül intézheti, gyakran egy olyan gomb alatt, mint "Saját névszerver regisztrálása" vagy "Child nameserver" vagy "Host létrehozása". Ha megváltozik a névszervere IP-címe, akkor a registrynél a glue rekordot is frissítenie kell. Máskülönben a rekurzív névfeloldók egy régi címre mutatnak majd.
A legtöbb domainhasználó számára nincs szükség saját névszerverekre. Ezeket elsősorban tárhelyszolgáltatók és viszonteladók használják, akik a saját nevüket szeretnék megjeleníteni.
A gyakorlatban: így néz ki egy kezelőfelületen
A Fiókom felületen lépjen a Domainjeim menüpontra, kattintson a domainre, majd a Névszerverek kártyán a ceruza ikonra. Töltsön ki legalább két névszervert. A saját névszervereket itt előbb létre kell hoznia a saját névszerver (glue) gombbal. Más regisztrátoroknál ezt gyakran "Névszerverek módosítása", "DNS-szerverek" vagy "Custom nameservers" néven találja, a glue rekordot pedig "Child nameservers" vagy "Hostrecords" néven; a mezők ugyanazok.
Összefoglalás
- A névszerverek módosításával az összes rekordja kezelését egy másik félhez viszi át.
- Biztonságos sorrend: biztonsági mentés, zóna beállítása, új névszerverek tesztelése, DNSSEC rendezése, majd csak ezután váltás.
- Egyes registryk (mint a DENIC) elutasítják a módosítást, ha az új névszerverek még nem rendelkeznek a zónával.
- Lame delegation: a registry olyan névszerverekre mutat, amelyek nem ismerik a domainjét.
- A glue rekordok a registrynél szereplő IP-címek az olyan névszerverekhez, amelyek a saját domainen belül találhatók.
Kvíz
Feladat
Z2.3 feladat: Minden névszerver egyforma? Nézze meg a sidn.nl névszervereit (a sidn.nl a SIDN, a .nl regisztrálásáért felelős nyilvántartó weboldala Hollandiában). Ezután kérdezze le minden egyes névszervertől külön-külön a sidn.nl SOA-rekordját (dig @ns1.sidn.nl sidn.nl SOA, vagy egy online eszköz, amelynél kiválaszthatja a szervert). Írja be névszerverenként a sorozatszámot, és azt, hogy egyeznek-e.
További olvasnivaló
Ezek a cikkek a WebOké-nál alkalmazott megoldást mutatják be. Más regisztrátoroknál hasonlóan működik.