Defaults.Exposed › Opravy › Nastavenie nameserverov (diverzita a SOA)

Ako opraviť Nastavenie nameserverov (diverzita a SOA)

Vaše nameservery sú adresár, ktorý hovorí celému internetu, kde nájsť váš web a e-mail. Ak všetky sídlia na jednej sieti a tá padne, vaše podnikanie v tom istom okamihu zmizne z internetu — žiadna stránka, žiadny e-mail, nič — a neporiadne nastavenie hodín na tých serveroch môže zanechať zmeny, ktoré urobíte, zaseknuté na dni.

Podstata pre vaše podnikanie: Ak každý nameserver pre vašu doménu žije na jednej sieti, jeden výpadok alebo útok na túto sieť zoberie váš web A váš e-mail offline spolu — vy naďalej platíte zamestnancov a reklamy, kým vás žiadny zákazník nedosiahne. Oddelene, nesprávne nakonfigurované SOA timery môžu zanechať vaše DNS zmeny (nový server, prepnutý poskytovateľ e-mailu, núdzové presmerovanie) propagovať sa dni namiesto hodín.

Čo vás to môže stáť

• Jedna sieť, na ktorej sedia všetky vaše nameservery, má zlé popoludnie — výpadok alebo DDoS útok — a váš web aj e-mail zmiznú zároveň. Zákazníci dostávajú stránky s chybami, vaša predajná schránka odráža správy a váš webový špecialista nemôže nič urobiť okrem čakania, kým sa zotaví niekoho iná sieť.
• IT tím veľkého zákazníka spustí kontrolu dodávateľa, uvidí všetky vaše nameservery u jedného poskytovateľa bez redundancie a poznačí vašu doménu ako single point of failure — trenie pri zmluve, ktorú by ste inak získali.
• Presťahujete sa na nový webový host alebo prepnete poskytovateľov e-mailu, ale nesprávny 'refresh' timer vo vašom SOA zázname znamená, že iné DNS servery naďalej odovzdávajú vašu starú adresu dni — takže niektorí zákazníci pristanú na mŕtvej stránke a váš e-mail sa rozdelí na dva.
• Bezpečnostný incident vás núti urgentne presmerovať prevádzku, ale vaše SOA timery hovoria svetu, aby cache-oval vaše staré záznamy týždeň, takže zmena, ktorú ste urobili pred hodinou, stále nedosiahla polovicu internetu, kým problém pokračuje.
• Vaše dva nameservery sú technicky dve mená, ale obidva sa riešia na to isté rack na tej istej sieti — takže redundancia, o ktorej si myslíte, že ju máte, je ilúzia a jeden zlyhanie stále zoberie všetko.

Prečo na tom záleží. Každá návšteva vašej stránky a každý e-mail zaslaný vám začína vyhľadávaním na vašich nameserveroch. Sú základom, na ktorom stojí zvyšok vašej online prítomnosti. Ak tento základ nemá žiadnu redundanciu, jeden zlyhanie vyradí všetko naraz; ak sú jeho časové hodnoty nesprávne, každá zmena, ktorú urobíte, sa pomaly prejavuje — práve keď si to môžete najmenej dovoliť.

Čo to je, v jednoduchých slovách

Predtým než niekto môže dosiahnuť váš web alebo vám poslať e-mail, ich počítač musí položiť jednoduchú otázku: “kde táto doména skutočne žije?” Servery, ktoré odpovedajú na túto otázku, sú vaše nameservery. Sú to položky adresára pre celú vašu online prítomnosť — úplne prvá vec, ktorej sa každý návštevník a každý e-mail dotknú, skôr než je vaša stránka alebo doručená pošta vôbec zaangažovaná.

Táto stránka pokrýva dve časti správneho nastavenia tohto adresára:

1. Diverzita — máte aspoň dva nameservery a sedia na skutočne oddelených častiach siete, takže jeden výpadok ich nemôže všetky umlčať naraz?
2. SOA záznam — malý “start of authority” záznam, ktorý obsahuje časové hodnoty kontrolujúce, ako dlho zvyšok internetu dôveruje a cache-uje vaše DNS odpovede. Nastavte timery nesprávne a každá zmena, ktorú urobíte, trvá dlhšie, kým dosiahne svet.

Žiadne z toho nie je glamour. Oboje sú základy. Keď sú správne, nikdy o nich nepremýšľate; keď sú nesprávne, zistíte to v najhoršom možnom momente.

Čo vás to môže stáť

• Všetko offline naraz. Ak všetky vaše nameservery žijú na jednej sieti a tá sieť má výpadok alebo je zasiahnutá DDoS útokom, váš web a e-mail stemnú spolu. Toto nie je teoretické — jeden DNS poskytovateľ pod útokom vyradil hlavné, dobre vybavené spoločnosti z internetu na väčšinu dňa. S redundanciou naprieč sieťami jeden zlyhanie prežijete; bez nej je to totálne.

• Obchod stratený pri kontrole dodávateľa. Bezpečnostný alebo obstarávací tím väčšieho zákazníka spustí kontrolu pred podpisom, uvidí všetky vaše nameservery sústredené u jedného poskytovateľa bez zálohy a označí vašu doménu ako single point of failure. Je to druh malej, vyhnuteľnej škvrny, ktorá pridáva trenie k zmluve, ktorú by ste inak vyhrali.

• Zmeny, ktoré nebudú. Prepnete webhostov, presťahujete poskytovateľov e-mailu alebo potrebujete urgentne presmerovať prevádzku. Nesprávny “refresh” alebo “expire” timer vo vašom SOA zázname znamená, že iné DNS servery naďalej podávajú vašu starú odpoveď dni. Polovica vašich zákazníkov pristane na novej stránke, polovica na mŕtvej; niektorý e-mail tečie k starému poskytovateľovi, niektorý k novému.

• Núdzová situácia, ktorú nemôžete rýchlo ukončiť. Počas bezpečnostného incidentu musíte presmerovať prevádzku od kompromitovaného servera teraz. Ak vaše SOA timery povedali svetu, aby cache-oval vaše záznamy týždeň, vaša oprava sa pomaly šíri internetom, kým problém naďalej hryzie.

• Redundancia, ktorá nie je skutočná. Máte dva nameservery, takže predpokladáte, že ste pokrytí — ale oba sa riešia na to isté rack na tej istej sieti. Prvé hardvérové zlyhanie to celé zoberie a záchranná sieť, na ktorú ste sa spoliehali, tam nikdy nebola.

Čo to v skutočnosti je

Diverzita nameserverov. Vaša doména by mala mať aspoň dva nameservery a ideálne by mali sediť na skutočne nezávislých sieťových cestách — nielen dve mená smerujúce na ten istý stroj. Za scénou sa každé meno nameservera rieši na jednu alebo viac IP adries a to, na čom skutočne záleží, je či tieto adresy obsadzujú odlišné časti smerovania internetu. Seriózny DNS poskytovateľ rozloží svoje nameservery naprieč mnohými oddelenými sieťovými blokmi a miestami po celom svete, takže dokonca aj dva nameservery od toho istého poskytovateľa vám dávajú skutočnú, nezávislú redundanciu. Prípad zlyhania je opak: jeden malý host, kde oba “nameservery” sú ten istý stroj, takže jedno zlyhanie je totálne.

SOA záznam. Každá DNS zóna má presne jeden Start of Authority záznam. Uvádza primárny nameserver a administratívny kontakt, nesie sériové číslo, ktoré sa inkrementuje pri každej zmene, a — časť, ktorá záleží pre vaše podnikanie — obsahuje štyri timery:

• Refresh — ako často sekundárne nameservery overujú primárny na zmeny. Dobrý rozsah: zhruba 1 až 24 hodín (3 600–86 400 sekúnd).
• Retry — ako skoro znovu skúsiť ak refresh zlyhá. Dobrý rozsah: zhruba 5 až 60 minút (300–3 600 sekúnd).
• Expire — ako dlho sekundárne naďalej podávajú vaše záznamy, ak nemôžu dosiahnuť primárny vôbec. Dobrý rozsah: zhruba 1 až 4 týždne (604 800–2 419 200 sekúnd).
• Minimálne TTL — spodná hranica pre to, ako dlho sú odpovede (vrátane odpovedí “toto meno neexistuje”) cache-ované. Mala by to byť rozumná pozitívna hodnota; 300 sekúnd je bežná voľba.

Ako vyzerá ‘dobré’: SOA, ktorý existuje, má platný administratívny kontakt a nesie timery v rámci týchto rozsahov.

Ako to opraviť (zadarmo, ~15 minút)

Táto časť je pre toho, kto spravuje vašu doménu alebo DNS — ak to nie ste vy, odovzdajte im túto sekciu. Oprava je zadarmo; účtujeme len na sledovanie, že zostane opravená.

Krok 1 — Uistite sa, že máte aspoň dva nameservery na diverzifikovanej infraštruktúre.

1. Skontrolujte, čo máte dnes. Spustite dig NS vasadomena.com (alebo použite akýkoľvek webový nástroj “DNS lookup”) a prečítajte nameservery. Dva alebo viac je minimum.
2. Ak máte len jeden alebo oba sú na jednom malom hoste, presňte váš DNS na poskytovateľa, ktorý vám dáva redundanciu predvolene. Prakticky každý seriózny poskytovateľ to robí:
   • Cloudflare — automaticky priraďuje dva nameservery rozložené naprieč jeho globálnou Anycast sieťou, keď pridáte doménu.
   • AWS Route 53 — každá hostovaná zóna dostane štyri nameservery naprieč oddelenými sieťami Route 53.
   • Google Cloud DNS / Microsoft 365 / Azure DNS — podobne poskytujú viacero nameserverov naprieč nezávislou infraštruktúrou.
3. Pre prepnutie, nastavte nameservery vašej domény u vášho registrátora (kde ste si kúpili doménu) na tie, ktoré vám váš nový DNS poskytovateľ dáva. Táto zmena môže trvať 24–48 hodín, kým sa plne propaguje.

Krok 2 — Skontrolujte (a ak je potrebné, opravte) vaše SOA timery.

1. Spustite dig SOA vasadomena.com a prečítajte hodnoty refresh, retry, expire a minimum-TTL.
2. Porovnajte ich s rozsahmi vyššie. V drvivej väčšine prípadov váš DNS poskytovateľ už nastavil rozumné predvolené hodnoty a nie je nič na robenie.
3. Ak je hodnota mimo rozsahu, opravte ju tam, kde je hostovaný váš DNS:
   • Na spravovaných poskytovateľoch (Cloudflare, Route 53, Google, Azure) SOA je z väčšej časti spravovaný za vás; zvyčajne ho upravujete cez nastavenia DNS poskytovateľa alebo podporu namiesto úpravy rukou.
   • Na samo-prevádzkovanom nameserveri (BIND, PowerDNS) upravte riadok SOA priamo v súbore zóny a znovu načítajte zónu — nezabudnite zvýšiť sériové číslo, aby sekundárne zdvihli zmenu.

Bežné chyby

• Zaobchádzanie s “dve mená” ako “dve siete.” Dve mená nameserverov, ktoré sa riešia na ten istý stroj alebo rack, sú single point of failure skrytý za presteením. Dôležité sú nezávislé sieťové cesty, nie počet mien.
• Predpokladanie, že viac je vždy lepšie, bez diverzity. Päť nameserverov všetkých na jednom krehkom hoste nie je bezpečnejšie ako jeden. Diverzita poráža kvantitu.
• Príliš agresívne nastavenie timerov. Stlačenie SOA refresh alebo minimum-TTL úplne dole na “okamžité zmeny” len zaťaží vaše nameservery a môže zhoršiť výpadky s malým skutočným prínosom. Rozumné predvolené nastavenia už vyvažujú rýchlosť voči záťaži.
• Nastavenie expire príliš nízko. Ak sekundárne prestanú podávať vašu zónu príliš skoro počas primárneho výpadku, obnoviteľné mrholenie sa stane plným výpadkom. Udržte expire v rozsahu týždňov.
• Úprava zóny ručne a zabudnutie sériového čísla. Na samo-prevádzkovaných nameserveroch, sekundárne zdvihnú zmeny len keď sériové číslo SOA sa zvýši. Zmeníte záznamy, ale sériové číslo nechajte tak a vaša “oprava” sa nikdy nepropaguje.
• Ponechanie DNS na základnom predvolenom nastavení registrátora domény. Vstavaný DNS niektorých registrátorov je jedno, minimálne nastavenie. Presun DNS na skutočného poskytovateľa zvyčajne vám v jednom kroku dá redundanciu aj rozumné SOA timery.

Závěr

Vaše nameservery a ich SOA záznam sú základ, na ktorom stojí všetko ostatné. Dva nameservery na skutočne oddelených sieťach znamenajú, že jeden zlyhanie nemôže vziať celé vaše podnikanie offline naraz; rozumné SOA timery znamenajú, že zmeny, ktoré urobíte, skutočne promptne dosiahnu svet. Oboje je zadarmo správne nastaviť, oboje je zvyčajne už v dobrom stave, keď ste na správnom DNS poskytovateľovi, a oboje stojí za dvojminútovú kontrolu — pretože deň, keď záležia, je deň, keď si môžete najmenej dovoliť, aby boli nesprávne.

FAQ