Defaults.Exposed › Поправки › Настройка на nameserver-и (разнообразие и SOA)

Как да поправите Настройка на nameserver-и (разнообразие и SOA)

Вашите nameserver-и са директорията, която казва на целия интернет къде да намери вашия уебсайт и имейл. Ако всички те се намират в една мрежа и тя падне, вашият бизнес изчезва от интернет едновременно — без сайт, без имейл, нищо — а небрежна настройка на часовника на тези сървъри може да остави промените, които правите, заседнали за дни.

Заключение за вашия бизнес: Ако всеки nameserver на вашия домейн живее в една мрежа, един срив или атака срещу тази мрежа сваля вашия уебсайт И вашия имейл заедно — вие продължавате да плащате на персонала и рекламите, докато никой клиент не може да ви достигне. Отделно, неправилно конфигурирани SOA таймери могат да оставят вашите DNS промени (нов сървър, сменен имейл доставчик, спешно пренасочване) да се разпространяват дни вместо часове.

Какво може да ви струва това

Единствената мрежа, в която се намират всички ваши nameserver-и, има лош следобед — срив или DDoS атака — и вашият уебсайт и имейл изчезват едновременно. Клиентите получават грешни страници, входящата ви поща за продажби отхвърля, и вашият уеб специалист не може да направи нищо освен да чака нечия чужда мрежа да се възстанови.
Екипът по сигурност на голям клиент прави проверка на доставчик, вижда всички ваши nameserver-и при един доставчик без резервираност, и отбелязва домейна ви като единична точка на отказ — триене по договор, който иначе бихте спечелили.
Преминавате към нов уеб хост или сменяте имейл доставчика, но грешен таймер за 'refresh' в SOA записа ви означава, че другите DNS сървъри продължават да дават стария ви адрес за дни — така че някои клиенти попадат на мъртъв сайт, а имейлът ви се разделя на две.
Инцидент по сигурността ви принуждава спешно да пренасочите трафика, но SOA таймерите ви казват на света да кешира старите ви записи за седмица, така че промяната, направена преди час, все още не е достигнала половината от интернет, докато проблемът продължава.
Двата ви nameserver-а са технически две имена, но те се разрешават до един и същ рак в една и съща мрежа — така че резервираността, за която смятате, че имате, е илюзия, и единичен отказ все пак сваля всичко.

Защо има значение. Всяко посещение на вашия уебсайт и всеки изпратен ви имейл започва с търсене срещу вашите nameserver-и. Те са основата, на която стои останалото ви онлайн присъствие. Ако тази основа няма резервираност, единичен отказ сваля всичко наведнъж; ако стойностите на времето й са грешни, всяка промяна, която правите, бавно влиза в сила — точно когато можете най-малко да си го позволите.

Какво е това, с прости думи

Преди да може някой да достигне вашия уебсайт или да ви изпрати имейл, компютърът им трябва да зададе прост въпрос: “Където всъщност живее този домейн?” Сървърите, отговарящи на този въпрос, са вашите nameserver-и. Те са директорийният запис за цялото ви онлайн присъствие — самото първо нещо, което всеки посетител и всеки имейл докосва, преди вашият сайт или входящата ви поща изобщо да се включат.

Тази страница покрива две части на правилното настройване на тази директория:

Разнообразие — имате ли поне два nameserver-а и намират ли се на наистина отделни части от мрежата, така че единичен срив да не може да ги заглуши всичките наведнъж?
SOA записът — малък запис “start of authority”, съдържащ стойностите на таймерите, контролиращи колко дълго останалият интернет се доверява и кешира вашите DNS отговори. Задайте таймерите грешно и всяка промяна, която правите, отнема повече да достигне до света.

Нито едно не е гламурно. И двете са основи. Когато са правилни, никога не мислите за тях; когато са грешни, разбирате в най-лошия момент.

Какво може да ви струва това

Всичко офлайн наведнъж. Ако всички ваши nameserver-и живеят в една мрежа и тя има срив или е ударена от DDoS атака, вашият уебсайт и имейл изгасват заедно. Това не е теоретично — единствен DNS доставчик, атакуван, е изключвал от интернет за по-голямата част от деня крупни, добре осигурени компании. С резервираност в различни мрежи единичен отказ е преживяем; без нея е пълен.
Сделка, изгубена на проверка на доставчик. Екипът по сигурност или обществените поръчки на по-голям клиент прави проверка преди подписване, вижда всички ваши nameserver-и концентрирани при един доставчик без резервен вариант, и маркира домейна ви като единична точка на отказ. Това е видът малка, предотвратима бележка, добавяща триене към договор, който иначе бихте спечелили.
Промени, които няма да влязат в сила. Сменяте уеб хостове, преминавате към нов имейл доставчик, или трябва да пренасочите трафик набързо. Грешен таймер за “refresh” или “expire” в SOA записа ви означава, че другите DNS сървъри продължават да обслужват стария ви отговор за дни. Половината от клиентите ви попадат на новия сайт, половината — на мъртвия; части от имейла протичат към стария доставчик, части — към новия. Промяната, направена преди час, все още не е готова.
Спешна ситуация, която не можете да прекратите бързо. По време на инцидент по сигурността трябва да насочите трафика от компрометиран сървър сега. Ако SOA таймерите ви са казали на света да кешира записите ви за седмица, поправката ви бавно се разпространява из интернет, докато проблемът продължава да удря.
Резервираност, която не е реална. Имате два nameserver-а, така че приемате, че сте покрити — но и двата се разрешават до един и същ рак в едната мрежа. Първият хардуерен отказ изкарва всичко, и мрежата за безопасност, на която сте разчитали, никога не е съществувала.

Какво всъщност е то

Разнообразие на nameserver-ите. Вашият домейн трябва да изброи поне два nameserver-а, и в идеалния случай те трябва да стоят на наистина независими мрежови пътища — не само две имена, сочещи към едно устройство. Зад кулисите всяко именно на nameserver се разрешава до един или повече IP адреси, и важното е дали тези адреси заемат различни части от рутирането на интернет. Сериозен DNS доставчик разпространява своите nameserver-и в много отделни мрежови блокове и локации по целия свят, така че дори два nameserver-а от един и същ доставчик ви дават реална, независима резервираност. Рисковият случай е обратното: единствен малък хост, при който двата “nameserver-а” са едно устройство, така че един отказ е пълен.

Бележка за техническия читател: нашата проверка брои вашите NS записи и след това вижда колко реално мрежово разнообразие стои зад тях. Основният сигнал е разпространението на отделни IP мрежови блокове, в които se разрешават nameserver-ите (приблизително /16 диапазони за IPv4 и /32 за IPv6), с броя на отделните имена на доставчиците като допълнение. Това умишлено дава заслуга на Anycast мащабни доставчици — Cloudflare, Google, AWS Route 53, Azure DNS — които обявяват един мрежов идентитет от много глобално отделни рутиращи пътища и по този начин осигуряват реално разнообразие дори от една марка. Имането на по-малко от два nameserver-а получава нула за тази проверка и се третира като висока тежест, тъй като е неосветена единична точка на отказ за целия домейн.

SOA записът. Всяка DNS зона има точно един Start of Authority запис. Той назовава основния nameserver и административния контакт, носи сериен номер, нарастващ при всяка промяна, и — частта, важна за вашия бизнес — съдържа четири таймера:

Refresh — колко често вторичните nameserver-и повторно проверяват основния за промени. Добър диапазон: приблизително 1 до 24 часа (3,600–86,400 секунди).
Retry — колко скоро да се опита отново, ако refresh не успее. Добър диапазон: приблизително 5 до 60 минути (300–3,600 секунди).
Expire — колко дълго вторичните обслужват вашите записи, ако изобщо не могат да достигнат основния. Добър диапазон: приблизително 1 до 4 седмици (604,800–2,419,200 секунди).
Minimum TTL — долният праг за колко дълго отговорите (включително “това ime не съществува”) се кешират. Трябва да бъде разумна положителна стойност; 300 секунди е честа.

Какво изглежда “добро”: SOA, който съществува, има валиден административен контакт, и носи таймери в тези диапазони. Стойностите извън диапазоните не са фатални — но те или забавят вашите промени (твърде дълги таймери) или зареждат nameserver-ите ви излишно (твърде кратки). Липсващ или наистина счупен SOA е по-сериозният случай.

Как да го поправите (безплатно, ~15 минути)

Тази част е за когото управлява вашия домейн или DNS — ако не сте вие, предайте им тази секция. Поправката е безплатна; таксуваме само за наблюдение, че остава поправена.

Стъпка 1 — Уверете се, че имате поне два nameserver-а на разнообразна инфраструктура.

Проверете какво имате днес. Изпълнете dig NS yourdomain.com (или използвайте всеки уеб инструмент за “DNS lookup”) и прочетете nameserver-ите. Два или повече е минимумът.
Ако имате само един, или двата са при единствен малък хост, преместете DNS-а си при доставчик, осигуряващ резервираност по подразбиране. Практически всеки сериозен доставчик го прави:
- Cloudflare — присвоява два nameserver-а, разпределени в глобалната му Anycast мрежа автоматично, когато добавите домейн.
- AWS Route 53 — всяка хоствана зона получава четири nameserver-а в отделни Route 53 мрежи.
- Google Cloud DNS / Microsoft 365 / Azure DNS — подобно осигуряват множество nameserver-и в независима инфраструктура.
За да превключите, задайте nameserver-ите на вашия домейн при вашия регистратор (където сте купили домейна — напр. Blacknight, GoDaddy, Namecheap) на тези, дадени ви от новия DNS доставчик. Тази промяна може да отнеме 24–48 часа за пълно разпространение.
За допълнителна устойчивост, по-големи или по-рисково изложени бизнеси могат да управляват вторичен DNS от втори независим доставчик (напр. Cloudflare + Route 53, или NS1 + Cloudflare). За повечето малки бизнеси това е незадължително — единствен реномиран доставчик вече дава реална мрежова резервираност.

Стъпка 2 — Проверете (и ако е нужно, коригирайте) SOA таймерите.

Изпълнете dig SOA yourdomain.com и прочетете стойностите за refresh, retry, expire и minimum-TTL.
Сравнете ги с диапазоните по-горе. В по-голямата част от случаите вашият DNS доставчик вече е задал разумни стойности по подразбиране и няма нищо за правене.
Ако стойност е извън диапазона, коригирайте я там, където е хостван вашият DNS:
- При управлявани доставчици (Cloudflare, Route 53, Google, Azure) SOA се обработва до голяма степен вместо вас; обикновено го коригирате чрез DNS настройките или поддръжката на доставчика, а не ръчно.
- При собствен nameserver (BIND, PowerDNS) редактирайте SOA реда директно в зонния файл и презаредете зоната — като не забравяте да увеличите серийния номер, за да могат вторичните да вземат промяната.
След всяка промяна изпълнете отново търсенията, за да потвърдите, че и списъкът на nameserver-ите, и SOA таймерите изглеждат правилно.

Чести грешки

Третиране на “две имена” като “две мрежи.” Два nameserver-а, разрешаващи се до едно устройство или рак, са единична точка на отказ с маскировка. Важното е независимите мрежови пътища, а не броят на имената.
Приемане, че повече винаги е по-добре, без разнообразие. Пет nameserver-а в един нестабилен хост не са по-сигурни от един. Разнообразието побеждава количеството.
Задаване на твърде агресивни таймери. Свиването на SOA refresh или minimum-TTL до “направете промените мигновени” само удря вашите nameserver-и и може да влоши сривовете, с малка реална полза. Разумните стойности по подразбиране вече балансират скоростта спрямо натоварването.
Задаване на expire твърде ниско. Ако вторичните спрат обслужването на вашата зона твърде рано по време на срив на основния, поправим смут се превръща в пълен срив. Поддържайте expire в диапазон на седмиците.
Ръчно редактиране на зона и забравяне на серийния номер. При собствени nameserver-и, вторичните вземат промените само когато SOA серийният номер нараства. Сменете записи, но оставете серийния непроменен, и “поправката” ви никога не се разпространява.
Оставяне на DNS при просто стандартните настройки на регистратора. Вграденият DNS на някои регистратори е единична, минимална настройка. Преместването на DNS при реален доставчик обикновено ви дава резервираност и разумни SOA таймери в едно движение.

Заключение

Вашите nameserver-и и техният SOA запис са основата, върху която стои всичко останало. Два nameserver-а в наистина отделни мрежи означава, че единичен отказ не може да изключи целия ви бизнес наведнъж; разумни SOA таймери означава, че промените, които правите, действително достигат до света навреме. И двете са безплатни за правилното им настройване, и двете обикновено вече са в добро състояние щом сте при подходящ DNS доставчик, и и двете си заслужава двуминутна проверка — защото денят, в който имат значение, е денят, когато можете най-малко да си позволите те да са грешни.

ЧЗВ

Не съм технически — мога ли сам да се справя с това?

Не е нужно да разбирате DNS детайлите. Разнообразието на nameserver-ите обикновено се обработва вместо вас в момента, в който поставите домейна си при реален DNS доставчик (Cloudflare, AWS Route 53, вашият хост) — те ви дават два или повече nameserver-а в мрежата им автоматично. SOA таймерите обикновено също са разумно зададени по подразбиране. Задачата е предимно да проверите какво имате и, ако сте при единична нестабилна настройка, да преминете към доставчик, осигуряващ резервираност. Предайте техническата секция по-долу на вашия уеб специалист или IT доставчик — поправката е безплатна.

Каква е разликата между двете неща, проверени на тази страница?

Две свързани части на една и съща основа. Първата — разнообразие на nameserver-ите — е за устойчивост: имате ли поне два nameserver-а, и намират ли се на наистина различни части от мрежата, така че един отказ да не може да ги изключи всичките? Втората — SOA записът — е за синхронизация: той съдържа стойностите на часовника, казващи на останалия интернет колко дълго да се доверява и кешира вашите DNS отговори. Едното е 'не слагайте всички яйца в една кошница'; другото е 'задайте таймерите така, че промените да протичат чисто'.

Имам два nameserver-а от една и съща компания — достатъчно ли е?

Обикновено да, ако тази компания е сериозен DNS доставчик. Големи доставчици като Cloudflare, Google и AWS управляват своите nameserver-и в много отделни мрежи и локации по целия свят, така че две имена от тях наистина стоят на независима инфраструктура — това е реална резервираност. Рисковият случай е единствен малък хост, при който двата 'nameserver-а' всъщност са едно устройство или един рак. Ако искате по-голяма сигурност, можете да управлявате nameserver-и от два независими доставчика, но за повечето малки бизнеси един реномиран DNS доставчик е достатъчен.

Какво реално прави стойността SOA 'refresh' или 'expire' за моя бизнес?

Това са таймери, казващи на другите DNS сървъри колко дълго да чакат преди повторна проверка на вашите записи, и колко дълго да ги обслужват, ако не могат да ви достигнат. Зададени твърде високо и промяна, която правите — нов IP на сървъра, нов имейл доставчик, спешно пренасочване — отнема много по-дълго да достигне до всички. Зададени твърде ниско и вашите nameserver-и получават излишен допълнителен трафик. Разумни стойности по подразбиране (refresh измерен в часове, expire в седмици) поддържат промените протичащи навреме, оставайки устойчиви по време на срив. Повечето доставчици задават правилно тези стойности по подразбиране.

Промяна ли прави оценката ми и колко?

Да, и двете части се отчитат за вашата DNS оценка. Имането на по-малко от два nameserver-а се третира като сериозна пропаст, защото е единична точка на отказ за цялото ви онлайн присъствие. Неправилно конфигуриран SOA е по-умерен проблем — не ви изключва, но забавя способността ви да реагирате при промяна. И двете са безплатни за коригиране и за повечето бизнеси вече са в добро състояние, щом сте при подходящ DNS доставчик.

Има ли уловка — трябва ли да ви плащам за коригирането?

Не. Получаването на резервирани nameserver-и и разумни SOA таймери е безплатно при всеки основен DNS доставчик, и стъпките по-долу са всичко, от което се нуждаете. Таксуваме само ако по-късно искате да продължим да наблюдаваме домейна ви и да ви предупреждаваме, ако резервираността се върне обратно към единична точка на отказ или таймерите се разминат.