NS, SOA og andre poster

Modul 5: Andre poster · Lesetid: 7 minutter

Læringsmål: Etter denne leksjonen gjenkjenner du de andre postene du møter i en sone, og du vet at du som regel ikke trenger å røre dem.

Nøkkelbegreper: NS i sonen, SOA (serienummer, refresh, retry, expire, minimum), TLSA (DANE), HTTPS og SVCB, DS og DNSKEY

Poster som bare står der

Åpner du DNS-skjermbildet til et domene, ser du ofte et par poster ved siden av A, CNAME, MX og TXT som du ikke har laget selv. De fleste er der av en god grunn, og du lar dem stå. I denne leksjonen lærer du å gjenkjenne dem, slik at du ikke blir skremt og ikke fjerner dem ved et uhell.

NS: navnetjenerne i din egen sone

I leksjon 2.1 så du at registeret (registry) fastsetter hvilke navnetjenere domenet ditt har. De samme navnetjenerne står også i din egen sone som NS-poster:

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

De to listene må stemme overens. Endrer du NS-postene i sonen din, skjer det ingenting hos registry: navnetjenere endrer du hos registraren din (leksjon 2.3). La derfor NS-postene for det rene domenet (apex) stå.

En NS-post på et underdomene er derimot noe du kan lage selv. Da gir du forvaltningen av det underdomenet til en annen part:

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Alt under lab.example.com blir da hentet fra den andre navnetjeneren. Det kalles en delegering, nøyaktig det samme som en registry gjør for hele domenet ditt.

SOA: den tekniske toppen

Hver sone har nøyaktig én SOA-post (Start of Authority), på det rene domenet. Mange paneler viser den ikke engang. Slik ser den ut:

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; serienummer
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

Serienummeret er nyttig når du leter etter problemer. Gir to navnetjenere for samme domene forskjellig serienummer, har de ulike versjoner av sonen. Den ene gir deg kanskje allerede den nye posten din, den andre fortsatt den gamle. Med et oppslagsverktøy (leksjon 8.2) kan du hente ut serienummeret per navnetjener.

TLSA: DANE for e-post

En TLSA-post (RFC 6698) inneholder en fingerprint av sertifikatet til en server. Dette kalles DANE. En sendende e-postserver kan da kontrollere at den virkelig snakker med din e-postserver og ikke med en inntrenger. DANE fungerer bare hvis domenet ditt har DNSSEC (leksjon 8.1). Du ser TLSA-poster under navn som:

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <lang hex-kode>

Det betyr: port 25, protokoll tcp, server mail.example.com. En TLSA-post som ikke lenger passer til sertifikatet (for eksempel etter en fornyelse med en ny nøkkel), får strenge avsendere til å avvise e-post. Lag den bare hvis panelet ditt holder den oppdatert automatisk.

HTTPS og SVCB: hint for nettleseren

HTTPS-posten og den mer generelle lillebroren SVCB (RFC 9460) er nye. De gir nettleseren informasjon på forhånd, for eksempel at siden støtter HTTP/3 og hvilke adresser den kjører på. Det gjør den første tilkoblingen litt raskere.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Legg merke til at HTTPS-posten, til tross for navnet, ikke har noe med SSL-sertifikatet ditt å gjøre. Uten HTTPS-post fungerer https helt vanlig. Store DNS-leverandører med eget nettverk setter ofte denne posten automatisk. Å lage den selv er sjelden nødvendig.

DS og DNSKEY: DNSSEC

DNSKEY-poster inneholder de offentlige nøklene som sonen din er signert med. DS-posten er en fingerprint av den nøkkelen og ligger ikke i din egen sone, men hos registry. Sammen danner de tillitskjeden i DNSSEC. Du forvalter dem ikke for hånd, men via DNSSEC-funksjonen hos DNS-leverandøren din. Leksjon 8.1 forklarer hvordan det fungerer og hva som kan gå galt ved en domeneoverføring.

Oppsummering

• NS-poster på det rene domenet lar du stå; navnetjenere endrer du hos registraren. En NS-post på et underdomene gir forvaltningen av det til en annen part.
• SOA-posten er toppen av sonen, med et serienummer som går opp ved hver endring. Minimumsfeltet bestemmer den negative cachen.
• TLSA (DANE) kobler et sertifikat til en server og fungerer bare med DNSSEC.
• HTTPS- og SVCB-poster er hint for nettleseren og har ingenting med sertifikatet ditt å gjøre.
• DS og DNSKEY hører til DNSSEC og forvaltes via DNSSEC-funksjonen.

Quiz

Oppgave

Oppgave Z5.3: SOA: forvalter og negativ cache. Slå opp SOA-posten til wikipedia.org. Fyll inn e-postadressen til forvalteren (det andre feltet, med en @ i stedet for det første punktumet) og verdien til det siste feltet (minimum, den negative cachen) i sekunder.

Det er ingen innstillingsoppgave i denne leksjonen: disse postene lager du sjelden selv.

Les mer

Disse artiklene beskriver panelene til WebOké; i andre paneler fungerer det på lignende måte.

• DirectAdmin-veiledning 5.2: Åpne DNS Administration og lese DNS-postene
• WebOké-veiledning 5.8: DNSSEC og DANE
• WebOké-veiledning 5.3: Endre navneservere