NS, SOA és egyéb rekordok

5. modul: Egyéb rekordok · Olvasási idő: 7 perc

Tanulási cél: Ennek a leckének a végén felismeri a zónában előforduló egyéb rekordokat, és tudni fogja, hogy ezekhez általában nem kell hozzányúlnia.

Kulcsfogalmak: NS a zónában, SOA (sorszám, refresh, retry, expire, minimum), TLSA (DANE), HTTPS és SVCB, DS és DNSKEY

Rekordok, amelyek egyszerűen ott vannak

Ha megnyitja egy domain DNS-beállításait, az A, CNAME, MX és TXT rekordok mellett gyakran lát még néhány olyan rekordot, amelyet nem Ön hozott létre. A legtöbb jó okból van ott, és érdemes érintetlenül hagyni őket. Ebben a leckében megtanulja felismerni ezeket, hogy ne lepődjön meg rajtuk, és véletlenül se törölje ki őket.

NS: a névszerverek a saját zónájában

A 2.1. leckében láthatta, hogy a nyilvántartó (registry) rögzíti, mely névszerverek tartoznak a domainhez. Ugyanezek a névszerverek a saját zónájában is szerepelnek, NS-rekordként:

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

A két listának meg kell egyeznie. Ha módosítja a zónájában az NS-rekordokat, attól a nyilvántartónál semmi nem változik: a névszervereket a regisztrátornál lehet módosítani (2.3. lecke). A csupasz domain NS-rekordjait tehát hagyja érintetlenül.

Egy aldomainre vonatkozó NS-rekordot viszont Ön maga is létrehozhat. Ezzel az adott aldomain kezelését egy másik félnek adja át:

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Minden, ami a lab.example.com alatt van, ezután azt a másik névszervert kérdezi le. Ezt nevezik delegálásnak, pontosan azt, amit egy nyilvántartó tesz a teljes domainjével.

SOA: a technikai fejléc

Minden zónának pontosan egy SOA-rekordja van (Start of Authority), a csupasz domainnéven. Sok panel meg sem jeleníti. Így néz ki:

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; serienummer
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

A sorszám jól jön hibakeresésnél. Ha ugyanannak a domainnek két névszervere eltérő sorszámot ad, akkor a zóna eltérő verzióját tárolják. Az egyik esetleg már az új rekordot adja vissza, a másik még a régit. Egy lekérdező eszközzel (8.2. lecke) névszerverenként lekérdezheti a sorszámot.

TLSA: DANE az e-mailhez

A TLSA-rekord (RFC 6698) egy szerver tanúsítványának ujjlenyomatát tartalmazza. Ezt nevezik DANE-nek. Egy küldő levelezőszerver így ellenőrizheti, hogy valóban az Ön levelezőszerverével kommunikál, és nem egy behatolóval. A DANE csak akkor működik, ha a domain rendelkezik DNSSEC-kel (8.1. lecke). A TLSA-rekordokat olyan nevek alatt találja, mint:

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <hosszú hexakód>

Ez azt jelenti: 25-ös port, tcp protokoll, mail.example.com szerver. Ha egy TLSA-rekord már nem felel meg a tanúsítványnak (például egy új kulccsal történő megújítás után), a szigorúbb feladók elutasíthatják a levelet. Csak akkor hozza létre, ha a panelje automatikusan karbantartja.

HTTPS és SVCB: útmutatás a böngészőnek

A HTTPS-rekord és általánosabb testvére, az SVCB (RFC 9460) új keletű. Előre tájékoztatják a böngészőt, például arról, hogy az oldal támogatja-e a HTTP/3-at, és milyen címeken fut. Ez kicsit felgyorsítja az első kapcsolódást.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Figyelem: a neve ellenére a HTTPS-rekordnak semmi köze az SSL-tanúsítványhoz. HTTPS-rekord nélkül a https simán működik. A saját hálózattal rendelkező nagy DNS-szolgáltatók gyakran automatikusan beállítják ezt a rekordot. Önnek ritkán kell saját kezűleg létrehoznia.

DS és DNSKEY: DNSSEC

A DNSKEY-rekordok tartalmazzák azokat a nyilvános kulcsokat, amelyekkel a zónáját aláírták. A DS-rekord ennek a kulcsnak az ujjlenyomata, és nem a saját zónájában, hanem a nyilvántartónál található. Együtt alkotják a DNSSEC bizalmi láncát. Ezeket nem kézzel kezeli, hanem a DNS-szolgáltatója DNSSEC-funkcióján keresztül. A 8.1. lecke elmagyarázza, hogyan működik, és mi mehet félre egy regisztrátorváltásnál.

Összefoglalás

• A csupasz domainnéven lévő NS-rekordokat hagyja érintetlenül; a névszervereket a regisztrátornál módosítja. Egy aldomainen lévő NS-rekord annak kezelését egy másik félnek adja át.
• A SOA-rekord a zóna fejléce, egy sorszámmal, amely minden módosításnál növekszik. A minimum mező határozza meg a negatív gyorsítótárat.
• A TLSA (DANE) egy tanúsítványt köt egy szerverhez, és csak DNSSEC-kel működik.
• A HTTPS- és SVCB-rekordok útmutatást adnak a böngészőnek, és semmi közük a tanúsítványhoz.
• A DS és DNSKEY a DNSSEC részei, és a DNSSEC-funkción keresztül kezeli őket.

Kvíz

Feladat

Z5.3. feladat: SOA: üzemeltető és negatív gyorsítótár. Keresse meg a wikipedia.org SOA-rekordját. Adja meg az üzemeltető e-mail-címét (a második mező, a @ jellel az első pont helyett), valamint az utolsó mező (minimum, a negatív gyorsítótár) értékét másodpercben.

Ehhez a leckéhez nincs beállítási feladat: ezeket a rekordokat ritkán hozza létre saját maga.

További olvasnivaló

Ezek a cikkek a WebOké paneleit mutatják be; más panelekben hasonlóan működik.

• DirectAdmin útmutató 5.2: A DNS adminisztráció megnyitása és a rekordok értelmezése
• WebOké útmutató 5.8: DNSSEC és DANE
• WebOké útmutató 5.3: Névszerverek módosítása