NS, SOA e altri record

Modulo 5: Altri record · Tempo di lettura: 7 minuti

Obiettivo della lezione: Dopo questa lezione riconosce gli altri record che incontra in una zona e sa che di solito non deve modificarli.

Concetti chiave: NS nella zona, SOA (numero di serie, refresh, retry, expire, minimum), TLSA (DANE), HTTPS e SVCB, DS e DNSKEY

Record che sono semplicemente presenti

Se apre la schermata DNS di un dominio, oltre ad A, CNAME, MX e TXT vede spesso qualche record che non ha creato Lei stesso. La maggior parte è presente per una buona ragione, e va lasciata così com'è. In questa lezione impara a riconoscerli, in modo da non spaventarsi e da non rimuoverli per errore.

NS: i nameserver nella Sua zona

Nella lezione 2.1 ha visto che il registro registra quali nameserver ha il Suo dominio. Gli stessi nameserver compaiono anche nella Sua zona come record NS:

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

I due elenchi devono corrispondere. Se modifica i record NS nella Sua zona, presso il registro non cambia nulla: i nameserver si modificano tramite il Suo registrar (lezione 2.3). Lasci quindi inalterati i record NS del dominio principale (apex).

Un record NS su un sottodominio è invece qualcosa che può creare Lei stesso. In questo modo affida la gestione di quel sottodominio a un altro soggetto:

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Tutto ciò che si trova sotto lab.example.com viene allora interrogato presso quell'altro nameserver. Questo si chiama delega, esattamente ciò che un registro fa per l'intero Suo dominio.

SOA: l'intestazione tecnica

Ogni zona ha esattamente un record SOA (Start of Authority), sul dominio principale (apex). Molti pannelli non lo mostrano nemmeno. Ecco come si presenta:

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; numero di serie
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

Il numero di serie è utile nella ricerca di problemi. Se due nameserver dello stesso dominio restituiscono un numero di serie diverso, hanno una versione diversa della zona. Uno dei due potrebbe già restituire il Suo nuovo record, l'altro ancora quello vecchio. Con uno strumento di interrogazione (lezione 8.2) può verificare il numero di serie per ciascun nameserver.

TLSA: DANE per la posta

Un record TLSA (RFC 6698) contiene un'impronta digitale del certificato di un server. Questo si chiama DANE. Un server di posta mittente può così verificare se sta davvero comunicando con il Suo server di posta e non con un intruso. DANE funziona solo se il Suo dominio ha il DNSSEC (lezione 8.1). I record TLSA si trovano sotto nomi come:

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <lungo codice esadecimale>

Questo significa: porta 25, protocollo tcp, server mail.example.com. Un record TLSA che non corrisponde più al certificato (ad esempio dopo un rinnovo con una nuova chiave) fa rifiutare la posta dai mittenti più rigorosi. Lo crei solo se il Suo pannello lo tiene aggiornato automaticamente.

HTTPS e SVCB: indicazioni per il browser

Il record HTTPS e il suo fratello più generico SVCB (RFC 9460) sono recenti. Forniscono in anticipo informazioni al browser, ad esempio che il sito supporta HTTP/3 e su quali indirizzi funziona. Questo rende leggermente più veloce la prima connessione.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Attenzione: nonostante il nome, il record HTTPS non ha nulla a che vedere con il Suo certificato SSL. Senza record HTTPS, https funziona comunque normalmente. I grandi fornitori DNS con una propria rete impostano spesso questo record automaticamente. Crearlo Lei stesso raramente è necessario.

DS e DNSKEY: DNSSEC

I record DNSKEY contengono le chiavi pubbliche con cui è firmata la Sua zona. Il record DS è un'impronta digitale di quella chiave e non si trova nella Sua zona, ma presso il registro. Insieme formano la catena di fiducia del DNSSEC. Non li gestisce manualmente, ma tramite la funzione DNSSEC del Suo fornitore DNS. La lezione 8.1 spiega come funziona e cosa può andare storto durante un trasferimento.

Riepilogo

• I record NS sul dominio principale (apex) vanno lasciati così come sono; i nameserver si modificano presso il registrar. Un record NS su un sottodominio affida la gestione di quest'ultimo a un altro soggetto.
• Il record SOA è l'intestazione della zona, con un numero di serie che aumenta a ogni modifica. Il campo minimum determina la cache negativa.
• TLSA (DANE) collega un certificato a un server e funziona solo con il DNSSEC.
• I record HTTPS e SVCB sono indicazioni per il browser e non hanno nulla a che vedere con il Suo certificato.
• DS e DNSKEY fanno parte del DNSSEC e si gestiscono tramite la funzione DNSSEC.

Quiz

Esercizio

Esercizio Z5.3: SOA: amministratore e cache negativa. Cerchi il record SOA di wikipedia.org. Inserisca l'indirizzo email dell'amministratore (il secondo campo, con una @ al posto del primo punto) e il valore dell'ultimo campo (minimum, la cache negativa) in secondi.

In questa lezione non c'è un esercizio di configurazione: questi record raramente li crea Lei stesso.

Per approfondire

Questi articoli descrivono i pannelli di WebOké; in altri pannelli il funzionamento è simile.

• Guida DirectAdmin 5.2: Aprire Amministrazione DNS e leggere i record
• Guida WebOké 5.8: DNSSEC e DANE
• Guida WebOké 5.3: Modifica nameserver