Modulo 2 · 2.3

Modificare i nameserver e i glue record

Modulo 2: Nameserver e zone · Tempo di lettura: 8 minuti

Obiettivo della lezione: Dopo questa lezione sarà in grado di modificare i nameserver in modo sicuro, di spiegare cos'è un glue record e di riconoscere perché un registro può rifiutare una modifica.

Concetti chiave: modifica dei nameserver tramite il registrar, glue record, nameserver propri (come ns1.example.com), controllo di predelegazione da parte del registro, lame delegation

Quando modificare i nameserver?

Si modificano i nameserver di un dominio quando si vuole trasferire la gestione del proprio DNS a un'altra parte. Per esempio:

passa a un altro fornitore di hosting e vuole che sia quest'ultimo a gestire il DNS;
vuole utilizzare un servizio DNS come Cloudflare;
una piattaforma per siti web Le chiede di impostare i nameserver verso di loro;
torna ai nameserver standard del Suo registrar.

È un passo importante: dopo il cambio, la nuova parte determina tutti i record del Suo dominio, anche quelli per la posta elettronica. Se desidera solo spostare il sito web o solo la posta altrove, di solito non deve modificare i nameserver. In quel caso basta adattare alcuni record (modulo 3 e 4).

L'ordine sicuro

Crei un elenco o un backup dei record attuali. Molti pannelli hanno un pulsante per esportare la zona o creare un backup.
Prepari la zona presso la nuova parte. Riprenda tutti i record necessari: sito web (A, AAAA, www), posta (MX, e il record A del server di posta se rientra nel Suo dominio), SPF, DKIM, DMARC, record di verifica, sottodomini.
Verifichi la nuova zona interrogando direttamente i nuovi nameserver, ancora prima di effettuare il cambio. Per esempio:
```
dig @ns1.newprovider.example example.com MX
```
Se i nuovi nameserver rispondono con i record corretti, la zona è pronta.
Ha attivato DNSSEC? In tal caso, organizzi prima come trasferire le chiavi. Disattivi DNSSEC e attenda che i vecchi dati DS siano scaduti dalle cache, oppure comunichi contemporaneamente i nuovi dati DS. Altrimenti la catena si interrompe e il Suo dominio diventa irraggiungibile per i resolver che effettuano la validazione (lezione 8.1).
Modifichi i nameserver presso il Suo registrar. Ne inserisca almeno due. Il registrar li trasmette al registro.
Attenda e verifichi. I resolver ricordano i vecchi nameserver finché non scade il TTL della delegazione. Per .nl è un'ora, per .com due giorni. In generale consideri da alcune ore a un giorno. Lasci la vecchia zona invariata per tutto questo periodo.

Perché un registro può rifiutare i Suoi nameserver?

Alcuni registri verificano i Suoi nameserver prima di applicare la modifica. Questo si chiama controllo di predelegazione. DENIC (.de) è nota per questo: se i nuovi nameserver non conoscono ancora il Suo dominio, oppure le risposte dei nameserver non corrispondono tra loro, la modifica viene rifiutata. Anche altri registri possono effettuare controlli, oppure avere regole sul numero di nameserver.

La soluzione è sempre la stessa: prepari prima la zona presso la nuova parte, e riprovi successivamente. Questo è il passo 2 dell'ordine sicuro. Per .nl può testare i Suoi nameserver in anticipo con uno strumento di test pubblico come Zonemaster.

Lame delegation

Se presso il registro i nameserver puntano a server che non conoscono il Suo dominio, questo si chiama lame delegation (una delegazione "zoppa"). Il resolver viene indirizzato verso un server che non ha risposta. Il risultato: il Suo dominio non funziona, oppure funziona solo a volte (se uno dei nameserver è corretto).

Questo accade per esempio se:

ha modificato i nameserver prima che la nuova parte avesse la zona pronta;
ha lasciato un vecchio fornitore, che ha eliminato la zona, mentre i nameserver puntano ancora verso quel fornitore;
c'è un errore di battitura nel nome di un nameserver.

Lo verifica interrogando ogni nameserver separatamente. Ogni nameserver deve dare una risposta, con il flag "authoritative" (in dig si vede aa tra i flag).

Nameserver propri e glue record

Può anche utilizzare nameserver con un nome all'interno del Suo stesso dominio, come ns1.example.com e ns2.example.com. Questo si chiama nameserver propri o vanity nameserver. Si crea così un problema dell'uovo e della gallina:

per cercare example.com, il resolver deve rivolgersi a ns1.example.com;
ma per trovare l'indirizzo IP di ns1.example.com, deve consultare la zona di example.com.

Per questo motivo il registro inserisce, accanto al nome del nameserver, anche l'indirizzo IP nel riferimento. Questo indirizzo aggiuntivo si chiama glue record (record di collegamento):

; in de zone van .com, bij de registry (Verisign)
example.com.       NS  ns1.example.com.
example.com.       NS  ns2.example.com.
ns1.example.com.   A   192.0.2.53      ; glue
ns2.example.com.   A   198.51.100.53   ; glue

Il glue è necessario solo se il nameserver rientra all'interno dello stesso dominio (o di un dominio che dipende dalla stessa delegazione). Se utilizza ns1.hosting.example per example.com, non è necessario alcun glue: quell'indirizzo si trova nella zona di hosting.example.

Il glue si gestisce tramite il Suo registrar, spesso sotto un pulsante come "Registrare nameserver proprio" o "Child nameserver" o "Creare host". Se cambia l'indirizzo IP del Suo nameserver, deve aggiornare anche il glue presso il registro. Altrimenti i resolver continueranno a puntare verso un indirizzo obsoleto.

Per la maggior parte dei titolari di domini, i nameserver propri non sono necessari. Vengono utilizzati soprattutto da aziende di hosting e rivenditori che vogliono mostrare il proprio nome.

Nella pratica: come si presenta in un pannello

In Mio WebOké vada su I miei domini, clicchi sul dominio e clicchi sulla matita nella scheda Nameserver. Inserisca almeno due nameserver. I nameserver propri si creano prima lì, con il pulsante per un nameserver proprio (glue). Presso altri registrar questo si chiama spesso "Modificare nameserver", "Server DNS" o "Custom nameserver", e per il glue "Child nameserver" o "Record host"; i campi sono gli stessi.

Riepilogo

Modificando i nameserver si trasferisce la gestione di tutti i record a un'altra parte.
Ordine sicuro: backup, preparazione della zona, test dei nuovi nameserver, gestione di DNSSEC, solo dopo il cambio.
Alcuni registri (come DENIC) rifiutano una modifica se i nuovi nameserver non hanno ancora la zona.
Lame delegation: il registro rimanda a nameserver che non conoscono il dominio.
I glue record sono indirizzi IP presso il registro per nameserver che rientrano nel proprio dominio.

Quiz

Esercizio

Esercizio Z2.3: Tutti i nameserver sono uguali? Cerchi i nameserver di sidn.nl (il dominio di SIDN, il registro di .nl nei Paesi Bassi). Successivamente interroghi ogni nameserver separatamente per il record SOA di sidn.nl (dig @ns1.sidn.nl sidn.nl SOA, oppure uno strumento online in cui può scegliere il server). Inserisca per ogni nameserver il numero di serie, e se sono uguali tra loro.

Per approfondire

Questi articoli descrivono la situazione presso WebOké. Presso altri registrar il funzionamento è simile.

Cookie su WebOké

Impostazioni cookie

Necessari

Marketing