NS, SOA ja muut tietueet

Moduuli 5: Muut tietueet · Lukuaika: 7 minuuttia

Oppimistavoite: Tämän oppitunnin jälkeen tunnistat muut vyöhykkeessä esiintyvät tietueet ja tiedät, että useimpiin niistä ei yleensä kannata koskea.

Keskeiset käsitteet: NS vyöhykkeessä, SOA (sarjanumero, refresh, retry, expire, minimum), TLSA (DANE), HTTPS ja SVCB, DS ja DNSKEY

Tietueet, jotka ovat vain siellä

Kun avaat verkkotunnuksen DNS-näkymän, näet A, CNAME, MX ja TXT-tietueiden lisäksi usein muutamia tietueita, joita et ole itse luonut. Useimmat niistä ovat siellä hyvästä syystä, ja ne kannattaa jättää rauhaan. Tällä oppitunnilla opit tunnistamaan ne, jotta et säikähdä etkä poista niitä vahingossa.

NS: nimipalvelimet omassa vyöhykkeessäsi

Oppitunnilla 2.1 näit, että rekisterinpitäjä tallentaa, mitkä nimipalvelimet verkkotunnuksellasi on. Samat nimipalvelimet löytyvät myös omasta vyöhykkeestäsi NS-tietueina:

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

Näiden kahden listan pitää täsmätä. Jos muutat NS-tietueita vyöhykkeessäsi, rekisterinpitäjällä ei muutu mikään: nimipalvelimet vaihdetaan verkkotunnusvälittäjän kautta (oppitunti 2.3). Jätä siis paljaan verkkotunnuksen NS-tietueet rauhaan.

NS-tietue aliverkkotunnuksessa on sen sijaan jotain, jonka voit itse luoda. Sillä annat kyseisen aliverkkotunnuksen hallinnan toiselle taholle:

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Kaikki osoitteen lab.example.com alla haetaan sitten kyseiseltä toiselta nimipalvelimelta. Tätä kutsutaan delegoinniksi, täsmälleen samaa mitä rekisterinpitäjä tekee koko verkkotunnuksellesi.

SOA: tekninen otsikko

Jokaisessa vyöhykkeessä on täsmälleen yksi SOA-tietue (Start of Authority), paljaassa verkkotunnuksessa. Monet hallintapaneelit eivät edes näytä sitä. Se näyttää tältä:

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; sarjanumero
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

Sarjanumero on hyödyllinen ongelmia selvitettäessä. Jos saman verkkotunnuksen kaksi nimipalvelinta antavat eri sarjanumeron, niillä on vyöhykkeestä eri versio. Toinen saattaa jo antaa uuden tietueesi, toinen edelleen vanhan. Opetustyökalulla (oppitunti 8.2) voit tarkistaa sarjanumeron nimipalvelimittain.

TLSA: DANE sähköpostille

TLSA-tietue (RFC 6698) sisältää palvelimen sertifikaatin sormenjäljen. Tätä kutsutaan DANEksi. Lähettävä sähköpostipalvelin voi tällöin tarkistaa, puhuuko se todella sinun sähköpostipalvelimesi kanssa eikä tunkeilijan kanssa. DANE toimii vain, jos verkkotunnuksellasi on DNSSEC (oppitunti 8.1). TLSA-tietueita näkee nimien alla kuten:

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <pitkä heksakoodi>

Tämä tarkoittaa: portti 25, protokolla tcp, palvelin mail.example.com. TLSA-tietue, joka ei enää vastaa sertifikaattia (esimerkiksi uusimisen jälkeen uudella avaimella), saa tiukemmat lähettäjät hylkäämään sähköpostin. Luo se vain, jos hallintapaneelisi päivittää sen automaattisesti.

HTTPS ja SVCB: vihjeitä selaimelle

HTTPS-tietue ja sen yleisempi sukulainen SVCB (RFC 9460) ovat uusia. Ne antavat selaimelle etukäteen tietoa, esimerkiksi että sivusto tukee HTTP/3:a ja millä osoitteilla se toimii. Tämä nopeuttaa hieman ensimmäisen yhteyden muodostamista.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Huomaa: nimestä huolimatta HTTPS-tietueella ei ole mitään tekemistä SSL-sertifikaattisi kanssa. Ilman HTTPS-tietuetta https toimii silti normaalisti. Suuret DNS-palveluntarjoajat, joilla on oma verkko, asettavat tämän tietueen usein automaattisesti. Itse luominen on harvoin tarpeen.

DS ja DNSKEY: DNSSEC

DNSKEY-tietueet sisältävät julkiset avaimet, joilla vyöhykkeesi on allekirjoitettu. DS-tietue on tuon avaimen sormenjälki, eikä se ole omassa vyöhykkeessäsi vaan rekisterinpitäjällä. Yhdessä ne muodostavat DNSSECin luottamusketjun. Et hallinnoi niitä käsin, vaan DNS-palveluntarjoajasi DNSSEC-toiminnon kautta. Oppitunti 8.1 selittää, miten tämä toimii ja mikä voi mennä pieleen verkkotunnuksen siirron yhteydessä.

Yhteenveto

• NS-tietueet paljaassa verkkotunnuksessa jätetään rauhaan; nimipalvelimet vaihdetaan verkkotunnusvälittäjän kautta. NS-tietue aliverkkotunnuksessa antaa sen hallinnan toiselle taholle.
• SOA-tietue on vyöhykkeen otsikko, jonka sarjanumero kasvaa jokaisen muutoksen yhteydessä. Minimum-kenttä määrittää negatiivisen välimuistin.
• TLSA (DANE) kytkee sertifikaatin palvelimeen ja toimii vain DNSSECin kanssa.
• HTTPS- ja SVCB-tietueet ovat vihjeitä selaimelle, eikä niillä ole mitään tekemistä sertifikaattisi kanssa.
• DS ja DNSKEY kuuluvat DNSSECiin ja niitä hallinnoidaan DNSSEC-toiminnon kautta.

Tietovisa

Tehtävä

Tehtävä Z5.3: SOA: ylläpitäjä ja negatiivinen välimuisti. Etsi verkkotunnuksen wikipedia.org SOA-tietue. Täytä ylläpitäjän sähköpostiosoite (toinen kenttä, ensimmäisen pisteen tilalla @) ja viimeisen kentän arvo (minimum, negatiivinen välimuisti) sekunteina.

Tällä oppitunnilla ei ole asetustehtävää: näitä tietueita luot harvoin itse.

Lue lisää

Nämä artikkelit kuvaavat WebOkén hallintapaneeleita; muissa paneeleissa toiminta on samantapaista.

• DirectAdmin-ohje 5.2: DNS Administration avaaminen ja tietueiden lukeminen
• WebOké-käyttöopas 5.8: DNSSEC ja DANE
• WebOké-käyttöopas 5.3: Nimipalvelimien vaihtaminen