DNS VPS:llesi ja käänteinen DNS

Moduuli 7: Verkkotunnus, verkkopalvelin ja https · Lukuaika: 10 minuuttia

Tavoite: Tämän oppitunnin jälkeen osaat ohjata verkkotunnuksen tai aliverkkotunnuksen VPS:llesi A- ja AAAA-tietueilla, asettaa palvelimesi käänteisen DNS:n oikein ja tarkistaa, että nimi ja osoite vastaavat toisiaan molempiin suuntiin.

Keskeiset käsitteet: A-tietue, AAAA-tietue, TTL, aliverkkotunnus palvelua kohden, www, palvelimen isäntänimi, PTR, käänteinen DNS, forward-confirmed reverse DNS (FCrDNS), CAA, unohtunut IPv6

IP-osoitteesta nimeen

Tähän asti olet käyttänyt palvelintasi sen IP-osoitteella, esimerkiksi ssh anna@192.0.2.10. Verkkosivustoa, varmennetta (oppitunti 7.3) ja moduulin 9 palveluita varten tarvitset nimen. Tämä yhteys tehdään verkkotunnuksesi DNS:ssä siellä, missä DNS:ääsi hallitaan: rekisterinpitäjällä, hosting-yrityksellä tai DNS-palvelussa. VPS:llä itsellään ei ole tämän kanssa mitään tekemistä; palvelimesi ei "tiedä", mitkä nimet osoittavat siihen.

DNS:n perusteet opit DNS-kurssilla. VPS:ää varten tarvitset niistä lähinnä kaksi tietuetta:

Tietue	Mitä	Esimerkki
A	nimi IPv4-osoitteeksi	`web1.example.com. 3600 IN A 192.0.2.10`
AAAA	nimi IPv6-osoitteeksi	`web1.example.com. 3600 IN AAAA 2001:db8::10`

VPS:lläsi on yleensä kiinteä IPv4- ja IPv6-osoite. Aseta silloin molemmat tietueet. IPv6:ta käyttävät kävijät (Alankomaissa suuri osa kotiliittymistä ja mobiiliverkoista) käyttävät silloin IPv6:ta, muut IPv4:ää.

Mitä nimiä teet?

Yleinen jako VPS:lle, jolla on verkkosivusto ja muutama palvelu:

web1.example.com.       A     192.0.2.10        ; itse palvelin (isäntänimi, PTR)
web1.example.com.       AAAA  2001:db8::10
example.com.            A     192.0.2.10        ; verkkosivusto
example.com.            AAAA  2001:db8::10
www.example.com.        CNAME example.com.
status.example.com.     CNAME web1.example.com. ; Uptime Kuma (oppitunti 9.4)
kluis.example.com.      CNAME web1.example.com. ; Vaultwarden (oppitunti 9.4)

Tähän sisältyy muutama valinta:

Palvelimella on oma nimi (web1), erillään verkkosivustosta. Tätä nimeä käytät SSH:ssa, käänteisessä DNS:ssä ja järjestelmän isäntänimenä. Jos sivusto myöhemmin siirtyy toiselle palvelimelle, web1 pitää edelleen paikkansa.
Aliverkkotunnus palvelua kohden. Uptime Kuma ja Vaultwarden saavat kumpikin oman nimensä. Se on paljon yksinkertaisempaa (ja turvallisempaa) kuin palveluiden sijoittaminen polun alle, kuten example.com/kluis: jokainen palvelu saa oman varmenteensa, evästeet eivät sekoitu ja voit myöhemmin siirtää palvelun toiselle palvelimelle muuttamalla yhtä tietuetta.
CNAME aliverkkotunnuksille. CNAME, joka osoittaa nimeen web1, tarkoittaa: jos palvelimen IP-osoite muuttuu, muutat vain nimen web1 tietueita. Pelkässä verkkotunnuksessa (example.com) ei saa olla CNAME-tietuetta; siihen asetat A- ja AAAA-tietueet.

Järjestelmän oman isäntänimen asetat palvelimella:

anna@web1:~$ sudo hostnamectl set-hostname web1.example.com
anna@web1:~$ hostname -f
web1.example.com

Tarkista myös, ettei /etc/hosts sisällä vanhaa nimeä. Oikea isäntänimi on tärkeä erityisesti silloin, jos palvelin joskus lähettää sähköpostia.

TTL: kuinka nopeasti muutos näkyy kaikkialla

TTL (time to live) on sekuntimäärä, jonka resolverit saavat muistaa vastauksen. Arvolla 3600 voi kestää jopa tunnin, ennen kuin kaikki näkevät uuden osoitteen. Jos aiot siirtää verkkosivuston VPS:llesi, laske TTL päivää etukäteen arvoon 300 (viisi minuuttia), odota vähintään vanhan TTL:n verran, vaihda osoite ja nosta TTL sen jälkeen taas korkeammaksi. Tämä on täsmälleen DNS-kurssin oppitunnin 6.3 vaiheittainen suunnitelma.

Tarkista komennolla dig (DNS-kurssin oppitunti 8.2), mitä muu internet näkee, ja kysy julkiselta resolverilta oman tietokoneesi sijaan:

anna@laptop:~$ dig +short A example.com @1.1.1.1
192.0.2.10
anna@laptop:~$ dig +short AAAA example.com @1.1.1.1
2001:db8::10

Windowsissa: Resolve-DnsName example.com -Type AAAA -Server 1.1.1.1.

Sudenkuoppa: AAAA-tietue ilman toimivaa IPv6:ta

Jos asetat AAAA-tietueen, palvelun on myös oikeasti oltava tavoitettavissa IPv6:n kautta. Yleinen virhe: tietue on olemassa, mutta verkkopalvelin kuuntelee vain IPv4:ää, tai palomuuri ei päästä IPv6:ta läpi (oppitunti 5.2), tai IPv6:ta ei ole määritetty VPS:ään. IPv6:ta käyttävät kävijät näkevät silloin hitaan tai toimimattoman sivuston, vaikka sinulla kaikki "toimii ihan hyvin", koska kotonasi on ehkä vain IPv4. Myös Let's Encrypt kokeilee ensin IPv6:ta, jos AAAA-tietue on olemassa (oppitunti 7.3). Jos palvelimesi vastaa IPv6:n kautta eri tavalla kuin IPv4:n kautta, varmennehakemus epäonnistuu.

Testaa siksi IPv6 erikseen toiselta koneelta, jolla on IPv6: curl -6 -I https://example.com. Jos sinulla ei itselläsi ole IPv6:ta, käytä verkkotestiä, kuten internet.nl.

Käänteinen DNS: osoitteesta takaisin nimeen

Käänteinen DNS yhdistää IP-osoitteen takaisin nimeen PTR-tietueella (DNS-kurssin oppitunti 4.6). Tämä tietue ei ole verkkotunnuksesi vyöhykkeessä vaan IP-osoitteen vyöhykkeessä, ja sen omistaa osoitetta hallinnoiva taho: VPS-palveluntarjoajasi. PTR asetetaan siis palveluntarjoajan hallintapaneelissa, ei omassa DNS:ssäsi.

Miksi tämä kannattaa tehdä?

Sähköposti. Vastaanottavat postipalvelimet hylkäävät tai epäilevät postia osoitteesta, jolla ei ole kunnollista käänteistä DNS:ää. Jos VPS:si lähettää sähköpostia (vaikka vain lomakkeen ilmoituksen), tämä on pakollista (katso kurssi Sähköposti kuntoon, oppitunti 5.1).
Tunnistettavuus. Lokeissa ja traceroute-tuloksissa muut näkevät nimen web1.example.com palveluntarjoajan yleisen nimen sijaan.
Siisteys. Jotkin palvelut ja roskapostisuodattimet antavat miinuspisteitä osoitteille, joiden PTR on yleinen tai puuttuu.

Sääntö on forward-confirmed reverse DNS (FCrDNS): osoite osoittaa PTR:llä nimeen, ja tämä nimi osoittaa A- tai AAAA-tietueella takaisin samaan osoitteeseen. Tee siis ensin A- ja AAAA-tietue ja pyydä sitten PTR, sekä IPv4:lle että IPv6:lle.

anna@laptop:~$ dig +short -x 192.0.2.10
web1.example.com.
anna@laptop:~$ dig +short A web1.example.com
192.0.2.10
anna@laptop:~$ dig +short -x 2001:db8::10
web1.example.com.
anna@laptop:~$ dig +short AAAA web1.example.com
2001:db8::10

Jos kaikista neljästä tulee odotettu vastaus, nimi ja osoite vastaavat toisiaan molempiin suuntiin.

CAA: kuka saa myöntää varmenteita?

CAA-tietueella (DNS-kurssin oppitunti 5.2) kerrot, mitkä varmenteiden myöntäjät saavat myöntää varmenteita verkkotunnuksellesi. Jos käytät vain Let's Encryptia:

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"

Tämä ei ole pakollista, mutta se on siisti lisäkerros. Huomaa: jos sinulla on jo CAA-tietue, jossa on toinen myöntäjä, Let's Encrypt hylkää hakemuksesi. Tarkista siis ensin komennolla dig CAA example.com.

Käytännössä: käänteinen DNS VPS-näkymässä

WebOkéssa käänteinen DNS asetetaan VPS-näkymässä välilehdellä "ISO ja rDNS". Jos verkkotunnuksesi DNS on myös WebOkéssa, paneeli voi luoda A- ja AAAA-tietueen puolestasi saman tien; jos DNS on muualla, teet nämä tietueet ensin itse ja syötät sen jälkeen koko nimen. Muilla palveluntarjoajilla tämän nimi asiakaspaneelissa on "Reverse DNS", "rDNS" tai "PTR"; joillakin se pitää pyytää tukipyynnöllä. Periaate on kaikkialla sama: ensin nimi osoitteeseen, sitten osoite nimeen.

Yhteenveto

Nimi yhdistetään VPS:ään A-tietueella (IPv4) ja AAAA-tietueella (IPv6) verkkotunnuksesi DNS:ssä.
Anna palvelimelle oma nimi (web1.example.com) ja jokaiselle palvelulle oma aliverkkotunnus; palvelimen nimeen osoittavat CNAME-tietueet helpottavat siirtoja.
Laske TTL ennen siirtoa ja tarkista komennolla dig julkiselta resolverilta.
Älä aseta AAAA-tietuetta, jos palvelu ei oikeasti toimi IPv6:n kautta; testaa IPv6 erikseen.
PTR asetetaan VPS-palveluntarjoajallasi; nimen ja osoitteen on vastattava toisiaan molempiin suuntiin (FCrDNS), sekä IPv4:llä että IPv6:lla.

Tietovisa (quiz)

Tehtävä

Tehtävä Z7.1: Palvelimesi A, AAAA ja PTR. Anna palvelimellesi oma nimi (esimerkiksi web1.<jouwdomein>), tee A- ja AAAA-tietue ja aseta käänteinen DNS palveluntarjoajallasi. Syötä tehtävään palvelimesi nimi, IPv4- ja IPv6-osoite sekä nimi, jonka sait komennolla dig -x kummallekin osoitteelle. Ohjelma hakee A- ja AAAA-tietueet sekä kummankin osoitteen PTR:n reaaliajassa ja tarkistaa, että kaikki vastaa toisiaan molempiin suuntiin. Jos palvelimellasi ei ole IPv6:ta, se tarkistaa vain IPv4:n ja ilmoittaa siitä oranssilla.

Evästeet WebOkén sivustolla

Evästeasetukset

Välttämättömät

Markkinointi