Modul 5 · 5.3
NS, SOA och andra poster
Modul 5: Övriga poster · Lästid: 7 minuter
Lärandemål: Efter den här lektionen känner du igen de övriga posterna du stöter på i en zon, och vet att du oftast inte ska röra dem.
Nyckelbegrepp: NS i zonen, SOA (serienummer, refresh, retry, expire, minimum), TLSA (DANE), HTTPS och SVCB, DS och DNSKEY
Poster som bara finns där
Öppnar du DNS-vyn för en domän ser du ofta, utöver A, CNAME, MX och TXT, några poster som du inte själv har skapat. De flesta finns där av goda skäl, och du lämnar dem orörda. I den här lektionen lär du dig känna igen dem, så att du inte blir orolig och råkar ta bort dem av misstag.
| Post | Vad den gör | Ändra själv? |
|---|---|---|
| NS | Vilka namnservrar som sköter zonen | Sällan |
| SOA | Zonens tekniska huvud | Nej, det sköter panelen |
| TLSA | Fingeravtryck av ett certifikat (DANE) | Bara om du använder DANE |
| HTTPS / SVCB | Ledtrådar för en snabbare, säkrare anslutning | Oftast sköter din DNS-leverantör det |
| DS / DNSKEY | Delar av DNSSEC | Nej, via DNSSEC-knappen |
| PTR | Från IP-adress tillbaka till namn | Inte i din egen zon (lektion 4.6) |
NS: namnservrarna i din egen zon
I lektion 2.1 såg du att registry registrerar vilka namnservrar din domän har. Samma namnservrar finns även i din egen zon som NS-poster:
example.com. 3600 IN NS ns1.hosting.example.
example.com. 3600 IN NS ns2.hosting.example.De två listorna ska stämma överens. Ändrar du NS-posterna i din zon förändras inget hos registry: namnservrar ändrar du hos din registrar (lektion 2.3). Låt därför NS-posterna för den nakna domänen stå kvar.
En NS-post på ett subdomän är däremot något du kan skapa själv. Då ger du bort hanteringen av det subdomänen till en annan part:
lab.example.com. 3600 IN NS ns1.otherprovider.example.Allt under lab.example.com hämtas då från den andra namnservern. Det kallas en delegering, precis det som en registry gör för hela din domän.
SOA: det tekniska huvudet
Varje zon har precis en SOA-post (Start of Authority), på den nakna domänen. Många paneler visar den inte ens. Så här ser den ut:
example.com. 3600 IN SOA ns1.hosting.example. hostmaster.example.com. (
2026110701 ; serienummer
14400 ; refresh
3600 ; retry
1209600 ; expire
300 ) ; minimum| Fält | Betyder |
|---|---|
ns1.hosting.example. | Zonens huvudnamnserver |
hostmaster.example.com. | Administratörens e-postadress, med en punkt i stället för @: hostmaster@example.com |
| Serienummer | Ett versionsnummer. Det höjs vid varje ändring. Ofta i formen år-månad-dag-löpnummer. |
| Refresh, retry, expire | Hur ofta extra namnservrar kontrollerar hos huvudservern om det finns en ny version, hur snabbt de försöker igen, och när de slutar svara om huvudservern är otillgänglig för länge |
| Minimum | Hur länge en resolver får komma ihåg att ett namn inte finns (den negativa cachen, RFC 2308). Mer om detta i lektion 6.2. |
Serienumret är användbart vid felsökning. Visar två namnservrar för samma domän olika serienummer har de olika versioner av zonen. Den ena kanske redan visar din nya post, den andra fortfarande den gamla. Med ett uppslagsverktyg (lektion 8.2) kan du hämta serienumret per namnserver.
TLSA: DANE för e-post
En TLSA-post (RFC 6698) innehåller ett fingeravtryck av en servers certifikat. Det kallas DANE. En sändande mailserver kan då kontrollera att den verkligen pratar med din mailserver och inte med en inkräktare. DANE fungerar bara om din domän har DNSSEC (lektion 8.1). Du ser TLSA-poster under namn som:
_25._tcp.mail.example.com. IN TLSA 3 1 1 <lång hexkod>Det betyder: port 25, protokoll tcp, server mail.example.com. En TLSA-post som inte längre stämmer med certifikatet (till exempel efter en förnyelse med en ny nyckel) kan göra att e-post från strikta avsändare avvisas. Skapa den bara om din panel håller den uppdaterad automatiskt.
HTTPS och SVCB: ledtrådar för webbläsaren
HTTPS-posten och dess allmänna lillebror SVCB (RFC 9460) är nya. De ger en webbläsare information i förväg, till exempel att webbplatsen stöder HTTP/3 och på vilka adresser den körs. Det gör den första anslutningen något snabbare.
example.com. 300 IN HTTPS 1 . alpn="h3,h2" ipv4hint=192.0.2.10Obs: trots namnet har HTTPS-posten inget att göra med ditt SSL-certifikat. Utan HTTPS-post fungerar https ändå. Stora DNS-leverantörer med eget nätverk sätter ofta den här posten automatiskt. Att skapa den själv behövs sällan.
DS och DNSKEY: DNSSEC
DNSKEY-poster innehåller de publika nycklarna som din zon är signerad med. DS-posten är ett fingeravtryck av den nyckeln och finns inte i din egen zon, utan hos registry. Tillsammans bildar de DNSSEC:s förtroendekedja. Du hanterar dem inte för hand utan via din DNS-leverantörs DNSSEC-funktion. Lektion 8.1 förklarar hur det fungerar och vad som kan gå fel vid en flytt.
Sammanfattning
- NS-poster på den nakna domänen lämnar du orörda; namnservrar ändrar du hos registrarn. En NS-post på ett subdomän ger bort hanteringen av det till någon annan.
- SOA-posten är zonens huvud, med ett serienummer som höjs vid varje ändring. Minimumfältet styr den negativa cachen.
- TLSA (DANE) kopplar ett certifikat till en server och fungerar bara tillsammans med DNSSEC.
- HTTPS- och SVCB-poster är ledtrådar för webbläsaren och har inget med ditt certifikat att göra.
- DS och DNSKEY hör till DNSSEC och hanteras via DNSSEC-funktionen.
Quiz
Uppgift
Uppgift Z5.3: SOA: administratör och negativ cache. Slå upp SOA-posten för wikipedia.org. Fyll i administratörens e-postadress (det andra fältet, med en @ i stället för den första punkten) och värdet i det sista fältet (minimum, den negativa cachen) i sekunder.
Det finns ingen inställningsuppgift till den här lektionen: dessa poster skapar du sällan själv.
Läs mer
Dessa artiklar beskriver panelerna hos WebOké; i andra paneler fungerar det på liknande sätt.