Defaults.Exposed › Pembaikan › Persediaan pelayan nama (kepelbagaian & SOA)

Cara memperbaiki Persediaan pelayan nama (kepelbagaian & SOA)

Pelayan nama anda adalah direktori yang memberitahu seluruh internet di mana untuk mencari laman web dan e-mel anda. Jika semuanya duduk pada satu rangkaian dan ia turun, perniagaan anda hilang dari internet pada masa yang sama — tiada laman, tiada e-mel, tiada apa-apa — dan tetapan jam yang tidak kemas pada pelayan-pelayan itu boleh meninggalkan perubahan yang anda buat tersangkut selama berhari-hari.

Kesimpulan untuk perniagaan anda: Jika setiap pelayan nama untuk domain anda berada pada satu rangkaian, satu gangguan atau serangan pada rangkaian itu membawa laman web DAN e-mel anda ke luar talian sekaligus — anda terus membayar kakitangan dan iklan semasa tiada pelanggan yang boleh menghubungi anda. Secara berasingan, pemasa SOA yang salah dikonfigurasi boleh meninggalkan perubahan DNS anda (pelayan baru, pembekal e-mel yang ditukar, pengalihan hala kecemasan) menyebar selama berhari-hari dan bukannya berjam-jam.

Apakah kos yang boleh timbul

• Satu rangkaian di mana semua pelayan nama anda duduk mengalami petang yang buruk — gangguan atau serangan DDoS — dan laman web serta e-mel anda hilang pada masa yang sama. Pelanggan mendapat halaman ralat, peti masuk jualan anda melantun, dan tidak ada yang boleh dilakukan oleh orang web anda selain menunggu rangkaian orang lain pulih.
• Pasukan keselamatan pelanggan besar menjalankan semakan vendor, melihat semua pelayan nama anda pada satu pembekal tanpa redundansi, dan mencatatkan domain anda sebagai titik kegagalan tunggal — geseran pada kontrak yang sebaliknya anda akan menangkan.
• Anda berpindah ke hos web baru atau tukar pembekal e-mel, tetapi pemasa 'refresh' yang salah dalam rekod SOA anda bermaksud pelayan DNS lain terus mengedarkan alamat lama anda selama berhari-hari — jadi sesetengah pelanggan mendarat di laman yang mati dan e-mel anda berpecah dua.
• Insiden keselamatan memaksa anda mengalihkan lalu lintas segera, tetapi pemasa SOA anda memberitahu dunia untuk menyimpan rekod lama anda selama seminggu, jadi perubahan yang anda buat sejam lalu masih belum mencapai separuh internet sementara masalah berterusan.
• Dua pelayan nama anda secara teknikal dua nama, tetapi mereka diselesaikan ke rak yang sama pada rangkaian yang sama — jadi redundansi yang anda fikir ada adalah ilusi, dan satu kegagalan masih membawa segalanya turun.

Mengapa ia penting. Setiap lawatan ke laman web anda dan setiap e-mel yang dihantar kepada anda bermula dengan carian terhadap pelayan nama anda. Mereka adalah asas yang seluruh kehadiran dalam talian anda duduk di atasnya. Jika asas itu tidak mempunyai redundansi, satu kegagalan menjatuhkan segalanya sekaligus; jika nilai pemasaannya salah, setiap perubahan yang anda buat lambat untuk berkuat kuasa — tepat ketika anda paling tidak mampu untuk itu.

Apa ini, dalam bahasa mudah

Sebelum sesiapa boleh mencapai laman web anda atau menghantar e-mel kepada anda, komputer mereka perlu bertanya soalan mudah: “di mana domain ini sebenarnya berada?” Pelayan yang menjawab soalan itu adalah pelayan nama anda. Mereka adalah entri direktori untuk keseluruhan kehadiran dalam talian anda — perkara pertama yang setiap pengunjung dan setiap e-mel sentuh, sebelum laman atau peti masuk anda malah terlibat.

Halaman ini merangkumi dua bahagian untuk mendapatkan direktori itu betul:

1. Kepelbagaian — adakah anda mempunyai sekurang-kurangnya dua pelayan nama, dan adakah mereka duduk pada bahagian rangkaian yang benar-benar berasingan, supaya satu gangguan tidak boleh menutup semua mereka sekaligus?
2. Rekod SOA — rekod “mula kuasa” kecil yang memegang nilai masa yang mengawal berapa lama selebihnya internet mempercayai dan menyimpan jawapan DNS anda. Salahkan pemasa dan setiap perubahan yang anda buat mengambil masa lebih lama untuk mencapai dunia.

Tidak ada yang glamour. Kedua-duanya adalah asas. Apabila mereka betul anda tidak pernah fikirkan tentang mereka; apabila mereka salah, anda mendapatinya pada saat yang paling teruk.

Apa yang ini boleh koskan anda

• Segalanya ke luar talian sekaligus. Jika semua pelayan nama anda berada pada satu rangkaian dan rangkaian itu mengalami gangguan atau diserang oleh DDoS, laman web dan e-mel anda menjadi gelap bersama-sama. Ini bukan teoritikal — satu pembekal DNS diserang pernah menjatuhkan syarikat besar yang bersumber baik dari internet hampir sepanjang hari. Dengan redundansi merentasi rangkaian, satu kegagalan boleh bertahan; tanpanya, ia adalah total.

• Urusan yang hilang atas semakan vendor. Pasukan keselamatan atau perolehan pelanggan yang lebih besar menjalankan semakan sebelum menandatangani, melihat semua pelayan nama anda tertumpu pada satu pembekal tanpa sandaran, dan menandakan domain anda sebagai titik kegagalan tunggal. Ia adalah tanda kecil yang boleh dielakkan yang menambah geseran pada kontrak yang sebaliknya anda akan menangkan.

• Perubahan yang tidak berkuat kuasa. Anda tukar hos web, pindah pembekal e-mel, atau perlu mengalihkan lalu lintas dengan segera. Pemasa “refresh” atau “expire” yang salah dalam rekod SOA anda bermaksud pelayan DNS lain terus menyajikan jawapan lama anda selama berhari-hari. Separuh pelanggan anda mendarat di laman baru, separuh di yang mati; sesetengah e-mel mengalir kepada pembekal lama, sesetengah kepada yang baru. Perubahan yang anda buat sejam lalu masih belum selesai.

• Kecemasan yang tidak boleh anda akhiri dengan cepat. Semasa insiden keselamatan anda perlu menghala lalu lintas jauh dari pelayan yang terjejas sekarang. Jika pemasa SOA anda memberitahu dunia untuk menyimpan rekod anda selama seminggu, pembetulan anda merangkak keluar merentasi internet sementara masalah terus menggigit.

• Redundansi yang tidak nyata. Anda mempunyai dua pelayan nama, jadi anda menganggap anda dilindungi — tetapi kedua-duanya diselesaikan ke rak yang sama pada rangkaian yang sama. Kegagalan perkakasan pertama membawa semua sekali, dan jaring keselamatan yang anda harapkan tidak pernah ada.

Apa yang sebenarnya

Kepelbagaian pelayan nama. Domain anda sepatutnya menyenaraikan sekurang-kurangnya dua pelayan nama, dan sebaik-baiknya mereka sepatutnya duduk pada laluan rangkaian yang benar-benar bebas — bukan hanya dua nama yang menghala ke kotak yang sama. Di belakang tabir, setiap nama pelayan nama diselesaikan kepada satu atau lebih alamat IP, dan apa yang benar-benar penting adalah sama ada alamat-alamat itu menduduki bahagian berbeza dari penghalaan internet. Pembekal DNS yang serius menyebarkan pelayan namanya merentasi banyak blok rangkaian dan lokasi berasingan di seluruh dunia, jadi malah dua pelayan nama dari pembekal yang sama memberikan anda redundansi yang nyata dan bebas. Kes kegagalan adalah yang bertentangan: satu hos kecil di mana kedua-dua “pelayan nama” adalah mesin yang sama, supaya satu kegagalan adalah total.

Nota untuk pembaca teknikal: semakan kami mengira rekod NS anda dan kemudian melihat berapa banyak kepelbagaian rangkaian yang tulen duduk di belakangnya. Isyarat utama adalah sebaran blok rangkaian IP yang berbeza yang pelayan nama diselesaikan ke dalamnya (kira-kira, /16 julat untuk IPv4 dan /32 untuk IPv6), dengan bilangan nama pembekal yang berbeza sebagai sandaran. Ini dengan sengaja mengkreditkan pembekal hyperscale Anycast — Cloudflare, Google, AWS Route 53, Azure DNS — yang mengumumkan satu identiti rangkaian dari banyak laluan penghalaan global yang berasingan dan oleh itu menyampaikan kepelbagaian yang nyata malah dari satu jenama. Mempunyai kurang daripada dua pelayan nama mendapat sifar pada semakan ini dan dianggap sebagai keparahan tinggi, kerana ia adalah titik kegagalan tunggal yang tidak dikurangkan untuk keseluruhan domain.

Rekod SOA. Setiap zon DNS mempunyai tepat satu rekod Mula Kuasa. Ia menamakan pelayan nama utama dan kenalan pentadbiran, membawa nombor siri yang ditambah pada setiap perubahan, dan — bahagian yang penting untuk perniagaan anda — memegang empat pemasa:

• Refresh — berapa kerap pelayan nama sekunder menyemak semula primer untuk perubahan. Julat baik: kira-kira 1 hingga 24 jam (3,600–86,400 saat).
• Retry — berapa cepat untuk cuba lagi jika refresh gagal. Julat baik: kira-kira 5 hingga 60 minit (300–3,600 saat).
• Expire — berapa lama sekunder terus menyajikan rekod anda jika mereka tidak boleh menghubungi primer sama sekali. Julat baik: kira-kira 1 hingga 4 minggu (604,800–2,419,200 saat).
• Minimum TTL — lantai untuk berapa lama jawapan (termasuk jawapan “nama ini tidak wujud”) disimpan. Sepatutnya nilai positif yang waras; 300 saat adalah pilihan biasa.

Apa yang “baik” kelihatan: SOA yang wujud, mempunyai kenalan pentadbiran yang sah, dan membawa pemasa dalam julat tersebut. Nilai di luar julat bukan fatal — tetapi mereka sama ada melambatkan perubahan anda (pemasa terlalu panjang) atau memuatkan pelayan nama anda tanpa perlu (terlalu pendek). SOA yang hilang atau benar-benar rosak adalah kes yang lebih serius.

Cara membetulkannya (percuma, ~15 minit)

Bahagian ini untuk sesiapa yang menguruskan domain atau DNS anda — jika bukan anda, serahkan mereka bahagian ini. Pembetulan adalah percuma; kami hanya mengenakan bayaran untuk memantau ia kekal diperbetulkan.

Langkah 1 — Pastikan anda mempunyai sekurang-kurangnya dua pelayan nama pada infrastruktur yang pelbagai.

1. Semak apa yang anda ada hari ini. Jalankan dig NS domainanda.com (atau gunakan mana-mana alat “carian DNS” web) dan baca pelayan nama. Dua atau lebih adalah minimum.
2. Jika anda hanya mempunyai satu, atau kedua-duanya pada satu hos kecil, pindahkan DNS anda kepada pembekal yang memberikan anda redundansi secara lalai. Hampir setiap pembekal yang serius melakukannya:
   • Cloudflare — menetapkan dua pelayan nama yang tersebar merentasi rangkaian Anycast globalnya secara automatik apabila anda menambah domain.
   • AWS Route 53 — setiap zon yang dihoskan mendapat empat pelayan nama merentasi rangkaian Route 53 yang berasingan.
   • Google Cloud DNS / Microsoft 365 / Azure DNS — begitu juga memperuntukkan beberapa pelayan nama merentasi infrastruktur bebas.
3. Untuk bertukar, tetapkan pelayan nama domain anda di pendaftar anda (di mana anda membeli domain) kepada yang diberikan oleh pembekal DNS baru anda. Perubahan ini boleh mengambil masa 24–48 jam untuk menyebar sepenuhnya.
4. Untuk ketahanan tali-pinggang-dan-penyangga, perniagaan yang lebih besar atau berisiko lebih tinggi boleh menjalankan DNS sekunder dari pembekal bebas kedua (mis. Cloudflare + Route 53, atau NS1 + Cloudflare). Bagi kebanyakan perniagaan kecil ini adalah pilihan — satu pembekal yang bereputasi sudah memberikan anda redundansi merentas-rangkaian yang nyata.

Langkah 2 — Semak (dan jika perlu, betulkan) pemasa SOA anda.

1. Jalankan dig SOA domainanda.com dan baca nilai refresh, retry, expire dan minimum-TTL.
2. Bandingkan dengan julat di atas. Dalam sebahagian besar kes pembekal DNS anda sudah menetapkan lalai yang waras dan tiada yang perlu dilakukan.
3. Jika nilai berada di luar julat, betulkan di mana DNS anda dihoskan:
   • Pada pembekal yang diuruskan (Cloudflare, Route 53, Google, Azure) SOA sebahagian besarnya diuruskan untuk anda; anda biasanya menyesuaikannya melalui tetapan DNS atau sokongan pembekal dan bukannya mengeditnya dengan tangan.
   • Pada pelayan nama yang dijalankan sendiri (BIND, PowerDNS) edit baris SOA dalam fail zon terus dan muat semula zon — ingat untuk menambah nombor siri supaya sekunder mengambil perubahan.
4. Selepas sebarang perubahan, jalankan semula carian untuk mengesahkan senarai pelayan nama dan pemasa SOA kelihatan betul.

Kesilapan biasa

• Menganggap “dua nama” sebagai “dua rangkaian.” Dua nama pelayan nama yang diselesaikan ke kotak atau rak yang sama adalah titik kegagalan tunggal yang menyamar. Apa yang penting adalah laluan rangkaian bebas, bukan bilangan nama.
• Menganggap lebih adalah sentiasa lebih baik, tanpa kepelbagaian. Lima pelayan nama semuanya pada satu hos yang rapuh tidak lebih selamat dari satu. Kepelbagaian mengalahkan kuantiti.
• Menetapkan pemasa terlalu agresif. Menurunkan refresh SOA atau minimum-TTL ke bawah untuk “menjadikan perubahan segera” hanya melanda pelayan nama anda dan boleh memburukkan gangguan, dengan sedikit faedah sebenar. Lalai yang waras sudah mengimbangi kelajuan berbanding beban.
• Menetapkan expire terlalu rendah. Jika sekunder berhenti menyajikan zon anda terlalu cepat semasa gangguan primer, gangguan yang boleh dipulihkan menjadi gangguan penuh. Pastikan expire dalam julat minggu.
• Mengedit zon dengan tangan dan terlupa nombor siri. Pada pelayan nama yang dijalankan sendiri, sekunder hanya mengambil perubahan apabila siri SOA bertambah. Ubah rekod tetapi biarkan siri sahaja dan “pembetulan” anda tidak pernah disebarkan.
• Meninggalkan DNS pada lalai bare pendaftar domain. DNS terbina dalam sesetengah pendaftar adalah persediaan tunggal dan minimum. Memindahkan DNS kepada pembekal yang sebenar biasanya memberikan anda redundansi dan pemasa SOA yang waras dalam satu langkah.

Intinya

Pelayan nama dan rekod SOA anda adalah asas yang segalanya duduk di atasnya. Dua pelayan nama pada rangkaian yang benar-benar berasingan bermaksud satu kegagalan tidak boleh membawa keseluruhan perniagaan anda ke luar talian sekaligus; pemasa SOA yang waras bermaksud perubahan yang anda buat sebenarnya mencapai dunia dengan segera. Kedua-duanya percuma untuk diperbetulkan, kedua-duanya biasanya sudah dalam keadaan baik setelah anda berada pada pembekal DNS yang betul, dan kedua-duanya berbaloi semakan dua minit — kerana hari mereka penting adalah hari anda paling tidak mampu untuk mereka salah.

Soalan Lazim