Jak działa DNS?

Co dzieje się po wpisaniu adresu

Komputer pyta resolver DNS operatora internetu albo publiczną usługę. Jeżeli odpowiedzi nie ma w pamięci, resolver przechodzi przez kolejne poziomy: serwery główne wskazują serwery .pl, a te serwery autorytatywne właściwej domeny. Dopiero stamtąd wraca rekord potrzebny przeglądarce.

Popularne „13 serwerów głównych” oznacza 13 nazwanych identyfikatorów od A do M, nie trzynaście maszyn stojących w jednym miejscu. Technika anycast pozwala utrzymywać wiele fizycznych instancji na świecie pod tymi samymi logicznymi adresami.

A prowadzi stronę, MX prowadzi pocztę

Rekord A zwraca adres IPv4, na przykład 192.0.2.10, a AAAA adres IPv6. CNAME tworzy alias. MX mówi, gdzie dostarczać pocztę, a TXT służy między innymi do SPF, DKIM, DMARC i weryfikacji własności domeny.

Częsty błąd polega na zmianie serwerów NS, gdy wystarczyło poprawić rekord A. Zmiana NS przekazuje całą strefę innemu operatorowi i może usunąć działające rekordy poczty. Przed taką operacją wyeksportuj lub przepisz kompletną strefę DNS.

TTL 3600 oznacza godzinę pamięci

TTL o wartości 3600 pozwala resolverowi pamiętać odpowiedź przez 3600 sekund. Jeżeli stary rekord miał TTL 86400, część użytkowników może widzieć go jeszcze przez 24 godziny. Obniżenie TTL pięć minut przed migracją nie usuwa kopii zapisanych wcześniej.

Bezpieczniej obniżyć TTL co najmniej jeden stary okres przed zmianą, wykonać migrację i podnieść go dopiero po testach. Hasło „propagacja trwa 48 godzin” jest uproszczeniem; rzeczywisty czas wynika z poprzedniego TTL i zachowania resolverów.

Trzy kroki diagnostyczne

Najpierw sprawdź delegowane serwery nazw. Następnie zapytaj bezpośrednio serwer autorytatywny. Na końcu porównaj odpowiedź z publicznym resolverem. Jeśli serwer autorytatywny podaje nowy adres, a resolver stary, prawdopodobną przyczyną jest pamięć podręczna. Jeśli błędna jest odpowiedź autorytatywna, samo czekanie niczego nie naprawi.

DNSSEC podpisuje odpowiedzi

DNSSEC pozwala resolverowi sprawdzić podpis danych DNS. Nie szyfruje zapytań i sam nie zabezpiecza strony. Błędny rekord DS może sprawić, że poprawnie działający serwer stanie się niewidoczny, dlatego zmianę operatora DNS trzeba skoordynować z wyłączeniem lub ponownym ustawieniem DNSSEC.

Przykład bezpiecznej migracji

W poniedziałek sprawdzasz, że rekord strony ma TTL 86400, czyli 24 godziny. Obniżasz go do 300 i czekasz do wtorku, aby stare kopie wygasły. Dopiero wtedy kierujesz rekord A na nowy serwer. Przez kilka godzin utrzymujesz stary hosting, obserwujesz logi obu maszyn i testujesz pocztę osobno.

Po potwierdzeniu działania podnosisz TTL do 3600. Jeżeli coś pójdzie źle, cofnięcie rekordu zostanie zauważone po maksymalnie pięciu minutach przez większość resolverów, a nie po całej dobie. Taki plan jest bardziej przewidywalny niż zmiana wszystkich rekordów i oczekiwanie na „propagację”.