Změna jmenných serverů a glue záznamy

Modul 2: Jmenné servery a zóny · Doba čtení: 8 min

Cíl lekce: Po této lekci budete umět bezpečně změnit jmenné servery, vysvětlit, co je glue záznam, a rozpoznat, proč registr může změnu odmítnout.

Klíčové pojmy: změna jmenných serverů přes registrátora, glue záznam, vlastní jmenné servery (například ns1.example.com), predelegační kontrola ze strany registru, lame delegation

Kdy měnit jmenné servery?

Jmenné servery domény měníte, pokud chcete správu své DNS přesunout k jiné straně. Například:

• přecházíte k jinému poskytovateli hostingu a chcete, aby spravoval DNS;
• chcete používat DNS službu, jako je Cloudflare;
• webová platforma Vás žádá, abyste na ni přesměrovali jmenné servery;
• vracíte se ke standardním jmenným serverům svého registrátora.

Jde o zásadní krok: po přechodu určuje nová strana všechny záznamy Vaší domény, včetně těch pro e-mail. Pokud chcete jen přesunout web nebo jen poštu jinam, obvykle jmenné servery měnit nemusíte. Stačí upravit jen několik záznamů (modul 3 a 4).

Bezpečný postup

1. Vytvořte si seznam nebo zálohu svých aktuálních záznamů. Mnoho panelů má tlačítko pro export zóny nebo vytvoření zálohy.
2. Připravte zónu u nové strany. Převezměte všechny záznamy, které potřebujete: web (A, AAAA, www), poštu (MX a záznam A poštovního serveru, pokud spadá pod Vaši doménu), SPF, DKIM, DMARC, ověřovací záznamy, subdomény.

3. Zkontrolujte novou zónu tak, že se zeptáte přímo nových jmenných serverů, ještě než provedete přechod. Například:

   dig @ns1.newprovider.example example.com MX

   Pokud nové jmenné servery odpovídají správnými záznamy, zóna je připravená.

4. Máte zapnutý DNSSEC? Nejprve si ujasněte, jak se přesunou klíče. Vypněte DNSSEC a počkejte, až staré DS údaje zmizí z cache, nebo předejte nové DS údaje současně se změnou. Jinak se řetěz přeruší a doména bude pro validující resolvery nedostupná (lekce 8.1).
5. Změňte jmenné servery u svého registrátora. Zadejte alespoň dva. Registrátor je předá registru.
6. Počkejte a zkontrolujte. Resolvery si pamatují staré jmenné servery, dokud nevyprší TTL delegace. U .nl je to hodina, u .com dva dny. Obecně počítejte s několika hodinami až jedním dnem. Starou zónu nechte mezitím beze změny.

Proč může registr Vaše jmenné servery odmítnout?

Některé registry kontrolují jmenné servery ještě předtím, než změnu provedou. Říká se tomu predelegační kontrola. DENIC (.de) je tím známý: pokud nové jmenné servery ještě Vaši doménu neznají, nebo si odpovědi jmenných serverů vzájemně neodpovídají, změna je odmítnuta. I jiné registry mohou provádět kontroly nebo mají pravidla pro počet jmenných serverů.

Řešení je vždy stejné: nejprve připravte zónu u nové strany a poté zkuste změnu znovu. To je krok 2 bezpečného postupu. Pro .nl si můžete jmenné servery předem otestovat pomocí veřejného testu, jako je Zonemaster.

Lame delegation

Pokud jmenné servery u registru ukazují na servery, které Vaši doménu neznají, nazývá se to lame delegation (doslova „chybná“ delegace). Resolver je přesměrován na server, který nemá odpověď. Důsledek: doména nefunguje, nebo funguje jen občas (pokud je jeden z jmenných serverů v pořádku).

Stává se to například, když:

• jste změnili jmenné servery dřív, než nová strana měla zónu připravenou;
• jste odešli od staré strany, která zónu smazala, zatímco jmenné servery stále ukazují na ni;
• je v názvu jmenného serveru překlep.

Zkontrolujete to tak, že se zeptáte každého jmenného serveru zvlášť. Každý jmenný server musí odpovědět s příznakem „authoritative“ (v dig to vidíte jako aa u flags).

Vlastní jmenné servery a glue záznamy

Můžete také používat jmenné servery s názvem ve vlastní doméně, například ns1.example.com a ns2.example.com. Tomu se říká vlastní jmenné servery nebo vanity nameservers. Vzniká tak problém slepice a vejce:

• aby resolver vyhledal example.com, musí se obrátit na ns1.example.com;
• ale aby našel IP adresu ns1.example.com, musí se podívat do zóny example.com.

Proto registr uvádí vedle názvu jmenného serveru i IP adresu přímo v delegaci. Tato dodatečná adresa se nazývá glue záznam (lepicí záznam):

; in de zone van .com, bij de registry (Verisign)
example.com.       NS  ns1.example.com.
example.com.       NS  ns2.example.com.
ns1.example.com.   A   192.0.2.53      ; glue
ns2.example.com.   A   198.51.100.53   ; glue

Glue je potřeba pouze tehdy, pokud jmenný server spadá do samotné domény (nebo do domény, která závisí na stejné delegaci). Pokud pro example.com používáte ns1.hosting.example, glue není potřeba: tato adresa je uvedena v zóně hosting.example.

Glue si nastavíte u svého registrátora, často pod tlačítkem jako „Registrovat vlastní jmenný server“, „Child nameserver“ nebo „Vytvořit host“. Pokud se změní IP adresa Vašeho jmenného serveru, musíte aktualizovat i glue u registru. Jinak budou resolvery ukazovat na starou adresu.

Pro většinu držitelů domén nejsou vlastní jmenné servery potřeba. Používají je zejména hostingové firmy a prodejci, kteří chtějí ukázat vlastní jméno.

V praxi: jak to vypadá v panelu

V Můj WebOké přejdete do Moje domény, kliknete na doménu a na kartě Nameservers kliknete na tužku. Zadáte alespoň dva jmenné servery. Vlastní jmenné servery si zde nejprve vytvoříte pomocí tlačítka pro vlastní jmenný server (glue). U jiných registrátorů se toto obvykle nazývá „Změnit jmenné servery“, „DNS servery“ nebo „Custom nameservers“, a pro glue „Child nameservers“ nebo „Hostrecords“; pole jsou stejná.

Shrnutí

• Změnou jmenných serverů přesouváte správu všech svých záznamů k jiné straně.
• Bezpečný postup: záloha, příprava zóny, otestování nových jmenných serverů, vyřešení DNSSEC, a teprve potom přechod.
• Některé registry (jako DENIC) odmítnou změnu, pokud nové jmenné servery ještě nemají zónu.
• Lame delegation: registr ukazuje na jmenné servery, které doménu neznají.
• Glue záznamy jsou IP adresy u registru pro jmenné servery, které spadají do vlastní domény.

Kvíz

Úkol

Úkol Z2.3: Jsou si všechny jmenné servery rovny? Vyhledejte jmenné servery domény sidn.nl (webová stránka SIDN, registru domén .nl v Nizozemsku). Poté se zeptejte každého jmenného serveru zvlášť na SOA záznam sidn.nl (dig @ns1.sidn.nl sidn.nl SOA, nebo online nástroj, kde si lze server vybrat). U každého jmenného serveru uveďte sériové číslo a zda se shodují.

Doporučená literatura

Tyto články popisují situaci u WebOké. U jiných registrátorů to funguje podobně.

• Příručka WebOké 5.3: Změna jmenných serverů
• Příručka WebOké 2.4: Nastavení vaší domény: jmenné servery, propojení s balíčkem a vlastník
• Použití vlastních nebo externích nameserverů (např. Cloudflare) pro Vaši doménu
• Testování Vašich nameserverů, i pro doménu .nl