Endre navnetjenere og glue-poster

Modul 2: Navnetjenere og soner · Lesetid: 8 minutter

Læringsmål: Etter denne leksjonen kan du bytte navnetjenere på en trygg måte, forklare hva en glue-post er, og gjenkjenne hvorfor en registry kan avvise en endring.

Nøkkelbegreper: navnetjenerendring via registraren, glue-post, egne navnetjenere (som ns1.example.com), predelegeringskontroll fra registryen, lame delegation

Når bytter du navnetjenere?

Du bytter navnetjenerne til et domene når du vil flytte styringen av DNS-en din til en annen part. For eksempel:

du bytter til en annen hostingleverandør og vil at de skal styre DNS-en;
du vil bruke en DNS-tjeneste som Cloudflare;
en nettstedsplattform ber deg sette navnetjenerne til dem;
du går tilbake til standardnavnetjenerne hos registraren din.

Det er et stort steg: etter byttet bestemmer den nye parten alle poster for domenet ditt, også dem for e-post. Vil du bare flytte nettstedet eller bare e-posten din et annet sted, trenger du som regel ikke å endre navnetjenerne. Da justerer du bare noen poster (modul 3 og 4).

Den trygge rekkefølgen

Lag en liste over eller en sikkerhetskopi av de nåværende postene dine. Mange panel har en knapp for å eksportere sonen eller ta en sikkerhetskopi.
Sett opp sonen hos den nye parten. Ta med alle postene du trenger: nettsted (A, AAAA, www), e-post (MX, og A-posten til e-postserveren hvis den ligger under domenet ditt), SPF, DKIM, DMARC, verifiseringsposter, underdomener.
Kontroller den nye sonen ved å spørre de nye navnetjenerne direkte, allerede før du bytter. For eksempel:
```
dig @ns1.newprovider.example example.com MX
```
Svarer de nye navnetjenerne med de riktige postene, er sonen klar.
Har du DNSSEC aktivert? Avklar først hvordan nøklene skal følge med. Slå av DNSSEC og vent til de gamle DS-opplysningene er ute av cachene, eller send inn de nye DS-opplysningene samtidig. Ellers brytes kjeden, og domenet ditt blir utilgjengelig for validerende resolvere (leksjon 8.1).
Endre navnetjenerne hos registraren din. Fyll inn minst to. Registraren sender dem videre til registryen.
Vent og kontroller. Resolvere husker de gamle navnetjenerne til TTL-en for delegeringen har gått ut. For .nl er det en time, for .com to dager. Regn generelt med noen timer til ett døgn. La den gamle sonen stå uendret så lenge.

Hvorfor kan en registry avvise navnetjenerne dine?

Enkelte registryer kontrollerer navnetjenerne dine før de gjennomfører endringen. Det kalles en predelegeringskontroll. DENIC (.de) er kjent for dette: hvis de nye navnetjenerne ennå ikke kjenner domenet ditt, eller svarene fra navnetjenerne ikke stemmer overens med hverandre, blir endringen avvist. Også andre registryer kan gjøre kontroller, eller ha regler om antall navnetjenere.

Løsningen er alltid den samme: sett først opp sonen hos den nye parten, og prøv deretter på nytt. Det er steg 2 i den trygge rekkefølgen. For .nl kan du teste navnetjenerne dine på forhånd med et offentlig verktøy som Zonemaster.

Lame delegation

Peker navnetjenerne hos registryen til servere som ikke kjenner domenet ditt, kalles det en lame delegation (en "lam" delegering). Resolveren blir henvist videre til en server som ikke har noe svar. Konsekvensen: domenet ditt fungerer ikke, eller bare noen ganger (hvis en av navnetjenerne er riktig konfigurert).

Dette skjer for eksempel når:

du har endret navnetjenerne før den nye parten hadde sonen klar;
du har forlatt en gammel leverandør som har slettet sonen, mens navnetjenerne fortsatt peker dit;
det er en skrivefeil i et navnetjenernavn.

Du kontrollerer dette ved å spørre hver navnetjener separat. Hver navnetjener skal gi et svar, med flagget "authoritative" (i dig ser du aa blant flaggene).

Egne navnetjenere og glue-poster

Du kan også bruke navnetjenere med et navn under ditt eget domene, som ns1.example.com og ns2.example.com. Dette kalles egne navnetjenere eller vanity-navnetjenere. Da oppstår det et høna-eller-egget-problem:

for å slå opp example.com må resolveren til ns1.example.com;
men for å finne IP-adressen til ns1.example.com må den se i sonen til example.com.

Derfor legger registryen også IP-adressen inn sammen med navnetjenernavnet i henvisningen. Denne ekstra adressen kalles en glue-post (limpost):

; i sonen til .com, hos registryen (Verisign)
example.com.       NS  ns1.example.com.
example.com.       NS  ns2.example.com.
ns1.example.com.   A   192.0.2.53      ; glue
ns2.example.com.   A   198.51.100.53   ; glue

Glue trengs bare når navnetjeneren ligger innenfor selve domenet (eller innenfor et domene som er avhengig av samme delegering). Bruker du ns1.hosting.example for example.com, trengs ingen glue: den adressen står i sonen til hosting.example.

Glue ordner du via registraren din, ofte under en knapp som "Registrer egen navnetjener" eller "Child nameserver" eller "Opprett host". Endrer IP-adressen til navnetjeneren din seg, må du også oppdatere glue hos registryen. Ellers peker resolvere til en gammel adresse.

For de fleste domeneinnehavere er egne navnetjenere ikke nødvendig. De brukes hovedsakelig av hostingselskaper og forhandlere som vil vise sitt eget navn.

I praksis: slik ser det ut i et panel

I Min side går du til Mine domener, klikker på domenet og klikker på blyanten på kortet Navnetjenere. Du fyller inn minst to navnetjenere. Egne navnetjenere oppretter du der først med knappen for egen navnetjener (glue). Hos andre registrarer kalles dette ofte "Endre navnetjenere", "DNS-servere" eller "Custom nameservers", og for glue "Child nameservers" eller "Hostposter"; feltene er de samme.

Oppsummering

Ved å endre navnetjenere flytter du styringen av alle postene dine til en annen part.
Trygg rekkefølge: sikkerhetskopi, sette opp sonen, teste nye navnetjenere, ordne DNSSEC, og først da bytte.
Enkelte registryer (som DENIC) avviser en endring hvis de nye navnetjenerne ikke har sonen klar ennå.
Lame delegation: registryen viser til navnetjenere som ikke kjenner domenet.
Glue-poster er IP-adresser hos registryen for navnetjenere som ligger innenfor eget domene.

Quiz

Oppgave

Oppgave Z2.3: Er alle navnetjenerne like? Finn navnetjenerne til sidn.nl (dette er nettstedet til SIDN, registryen for .nl i Nederland). Spør deretter hver enkelt navnetjener separat om SOA-posten til sidn.nl (dig @ns1.sidn.nl sidn.nl SOA, eller et nettbasert verktøy der du kan velge server). Fyll inn serienummeret for hver navnetjener, og om de er like.

Les mer

Disse artiklene beskriver situasjonen hos WebOké. Hos andre registrarer fungerer det på lignende måte.

Cookies hos WebOké

Cookie-innstillinger

Nødvendige

Markedsføring