Modul 5 · 5.3
NS, SOA a další záznamy
Modul 5: Další záznamy · Doba čtení: 7 min
Cíl lekce: Po této lekci rozpoznáte ostatní záznamy, se kterými se v zóně setkáte, a budete vědět, že se jich většinou nemáte dotýkat.
Klíčové pojmy: NS v zóně, SOA (sériové číslo, refresh, retry, expire, minimum), TLSA (DANE), HTTPS a SVCB, DS a DNSKEY
Záznamy, které tam prostě jsou
Otevřete li DNS obrazovku domény, uvidíte vedle A, CNAME, MX a TXT často ještě pár záznamů, které jste sami nevytvořili. Většina z nich tam je z dobrého důvodu a necháte je tak, jak jsou. V této lekci se naučíte je rozpoznat, abyste se jich nelekli a omylem je neodstranili.
| Záznam | Co dělá | Upravovat sám? |
|---|---|---|
| NS | Které jmenné servery zónu spravují | Zřídka |
| SOA | Technická hlavička zóny | Ne, to zajišťuje panel |
| TLSA | Otisk prstu certifikátu (DANE) | Pouze pokud používáte DANE |
| HTTPS / SVCB | Náznaky pro rychlejší, bezpečné připojení | Obvykle to zajišťuje Váš poskytovatel DNS |
| DS / DNSKEY | Součásti DNSSEC | Ne, pomocí tlačítka DNSSEC |
| PTR | Z IP adresy zpět na název | Ne ve Vaší vlastní zóně (lekce 4.6) |
NS: jmenné servery ve Vaší vlastní zóně
V lekci 2.1 jste viděli, že registr eviduje, které jmenné servery Vaše doména má. Stejné jmenné servery jsou zapsané i ve Vaší vlastní zóně jako záznamy NS:
example.com. 3600 IN NS ns1.hosting.example.
example.com. 3600 IN NS ns2.hosting.example.Oba seznamy musí souhlasit. Změníte li záznamy NS ve své zóně, u registru se nic nezmění: jmenné servery se mění u Vašeho registrátora (lekce 2.3). Záznamy NS u holé domény tedy nechte beze změny.
Záznam NS u subdomény je naopak něco, co si můžete vytvořit sami. Tím předáte správu dané subdomény jiné straně:
lab.example.com. 3600 IN NS ns1.otherprovider.example.Vše pod lab.example.com se pak dotazuje u onoho jiného jmenného serveru. Tomu se říká delegace, přesně to, co registr dělá pro celou Vaši doménu.
SOA: technická hlavička
Každá zóna má přesně jeden záznam SOA (Start of Authority), u holé domény. Řada panelů jej ani nezobrazuje. Vypadá takto:
example.com. 3600 IN SOA ns1.hosting.example. hostmaster.example.com. (
2026110701 ; serienummer
14400 ; refresh
3600 ; retry
1209600 ; expire
300 ) ; minimum| Pole | Význam |
|---|---|
ns1.hosting.example. | Hlavní jmenný server zóny |
hostmaster.example.com. | E mailová adresa správce, s tečkou místo @: hostmaster@example.com |
| Sériové číslo | Číslo verze. Při každé změně se zvyšuje. Často ve tvaru rok měsíc den pořadové číslo. |
| Refresh, retry, expire | Jak často kontrolují další jmenné servery u hlavního serveru, zda existuje nová verze, jak rychle to zkoušejí znovu, a kdy přestanou odpovídat, pokud je hlavní server příliš dlouho nedostupný |
| Minimum | Jak dlouho si resolver smí pamatovat, že daný název neexistuje (negativní cache, RFC 2308). Více o tom v lekci 6.2. |
Sériové číslo je užitečné při hledání problémů. Pokud dva jmenné servery téže domény uvádějí odlišné sériové číslo, mají různou verzi zóny. Jeden už možná vrací Váš nový záznam, druhý ještě starý. Pomocí vyhledávacího nástroje (lekce 8.2) si můžete sériové číslo u jednotlivých jmenných serverů zjistit.
TLSA: DANE pro e mail
Záznam TLSA (RFC 6698) obsahuje otisk prstu certifikátu serveru. Tomu se říká DANE. Odesílající mailový server pak může ověřit, že skutečně komunikuje s Vaším mailovým serverem a ne s vetřelcem. DANE funguje jen pokud má Vaše doména zapnutý DNSSEC (lekce 8.1). Záznamy TLSA uvidíte pod názvy jako:
_25._tcp.mail.example.com. IN TLSA 3 1 1 <dlouhý hexadecimální kód>To znamená: port 25, protokol tcp, server mail.example.com. Záznam TLSA, který už neodpovídá certifikátu (například po obnově s novým klíčem), způsobí, že přísní odesílatelé poštu odmítnou. Vytvářejte jej jen pokud jej Váš panel automaticky udržuje aktuální.
HTTPS a SVCB: náznaky pro prohlížeč
Záznam HTTPS a jeho obecnější sourozenec SVCB (RFC 9460) jsou nové. Poskytují prohlížeči informace předem, například že web podporuje HTTP/3 a na jakých adresách běží. To mírně zrychlí první připojení.
example.com. 300 IN HTTPS 1 . alpn="h3,h2" ipv4hint=192.0.2.10Pozor: navzdory svému názvu nemá záznam HTTPS nic společného s Vaším SSL certifikátem. Bez záznamu HTTPS funguje https úplně normálně. Velcí poskytovatelé DNS s vlastní sítí tento záznam často nastavují automaticky. Sami jej musíte vytvářet jen zřídka.
DS a DNSKEY: DNSSEC
Záznamy DNSKEY obsahují veřejné klíče, kterými je Vaše zóna podepsaná. Záznam DS je otisk prstu tohoto klíče a nenachází se ve Vaší vlastní zóně, ale u registru. Společně tvoří řetězec důvěry DNSSEC. Nespravujete je ručně, ale pomocí funkce DNSSEC u Vašeho poskytovatele DNS. Lekce 8.1 vysvětluje, jak to funguje a co se může pokazit při převodu domény.
Shrnutí
- Záznamy NS u holé domény necháte beze změny; jmenné servery měníte u registrátora. Záznam NS u subdomény předává správu dané subdomény jinému subjektu.
- Záznam SOA je hlavička zóny se sériovým číslem, které se při každé změně zvyšuje. Pole minimum určuje negativní cache.
- TLSA (DANE) spojuje certifikát se serverem a funguje jen s DNSSEC.
- Záznamy HTTPS a SVCB jsou náznaky pro prohlížeč a nemají nic společného s Vaším certifikátem.
- DS a DNSKEY patří k DNSSEC a spravujete je pomocí funkce DNSSEC.
Kvíz
Úkol
Úkol Z5.3: SOA: správce a negativní cache. Vyhledejte záznam SOA domény wikipedia.org. Zapište e mailovou adresu správce (druhé pole, s @ místo první tečky) a hodnotu posledního pole (minimum, negativní cache) v sekundách.
K této lekci není žádný nastavovací úkol: tyto záznamy si sami vytváříte jen zřídka.
Doporučená literatura
Tyto články popisují panely WebOké; v jiných panelech to funguje obdobně.