Principes de base du DNS – Zone DNS

Beaucoup de gens ne savent pas ce qu’est une zone DNS, comment la créer et comment elle doit se présenter correctement pour que nous n’ayons pas de problèmes et que notre client puisse entrer sur le site web, utiliser nos services et nous envoyer un e-mail.

Qu’est-ce qu’une zone DNS ?

La zone DNS est l’ensemble des informations que le serveur DNS possède sur un domaine donné. Chaque domaine a sa zone sur des serveurs autorisés sélectionnés, dont les informations peuvent être trouvées auprès du registraire de domaine et des serveurs racine DNS. Mais dès le début, lorsque vous achetez un domaine, on vous demande de fournir des serveurs NS (serveur de noms) ou le registraire de domaine vous attribue des serveurs. Ce dernier informe à son tour les serveurs racine que le domaine a été enregistré et que des serveurs NS ont été sélectionnés. Grâce à cela, le serveur de notre fournisseur d’accès à Internet, connaissant les serveurs racine, est capable de demander l’adresse IP du serveur de noms, qui à son tour est déjà sollicité pour l’adresse IP de notre site web ou de notre serveur de messagerie.

Exemple d’une zone simple :

Le domaine le plus simple doit avoir une entrée A pour lui-même, et devrait avoir un enregistrement SOA MX et une entrée A pour le sous-domaine www. Un exemple est l’entrée ci-dessous écrite dans un fichier brut conforme à la norme bind. Bien entendu, les enregistrements AAAA (ipv6) sont facultatifs et peuvent également être rejetés.

[codeblocks name='DNS_ZONE']

Construction de la zone

Les entrées A, AAAA, NS, MX, SOA, CNAME, TXT constituent la base de la construction d’une zone DNS. Il s’agit des entrées de base que vous devez connaître si vous envisagez de créer votre propre zone, notre système offre une édition simple de la zone DNS.

SOA – Start Of Authority (début d’autorité)

Une entrée générée automatiquement par la plupart des systèmes, elle doit être incluse dans chaque zone, elle transmet des informations concernant le serveur de noms principal de la zone, l’adresse électronique de la personne qui gère la zone, où @ est remplacé par un point „.”. Numéro de série – un numéro de série qui doit être augmenté à chaque changement de zone, on suppose qu’il se compose de YYYYMMDDnn – Année, mois, jour, nombre de modification sur un jour donné. Rafraîchissement – durée en secondes de la fréquence à laquelle la zone doit être rafraîchie par les serveurs esclaves. Retry Si le serveur maître n’a pas répondu, combien de secondes devons-nous essayer de contacter à nouveau. Expire – après combien de temps le serveur doit rejeter une zone précédemment téléchargée si le serveur maître n’a pas pu être contacté entre-temps et que la session n’a pas été mise à jour. TTL, ou time to live, est le nombre de secondes pendant lequel le serveur esclave doit mettre la zone en cache et ne pas avoir à s’interroger à nouveau pour éviter de générer un trafic et une latence inutiles.

Entrée A

Les entrées A font référence aux adresses IPv4 et vous indiquent à quel serveur vous connecter si vous entrez un domaine spécifique. Par exemple, une entrée pour le domaine principal (roan24.pl) avec la valeur 178.33.3.233 et une entrée pour www (www.roan24.pl) avec la valeur 178.33.3.233, alors qu’une entrée pour mail pointera vers l’adresse ip 178.33.3.224 parce que ce serveur est responsable du courrier.

Entrée AAAA

Elle fonctionne sur le même principe que l’entrée A, mais pour les adresses IPv6. Les entrées AAAA peuvent exister pour les mêmes domaines que les entrées A, mais elles peuvent aussi exister sans elles. Notez simplement que si vous ne créez une entrée AAAA que pour un domaine, les personnes ayant une adresse ipv4 ne pourront pas y accéder.

Entrée CNAME

Une entrée nous indiquant qu’un sous-domaine particulier est caché dans une autre zone, un exemple est souvent le courrier, où les serveurs de courrier sont situés sur des serveurs différents des serveurs web. Par exemple, si notre domaine est moja.pl et que le courrier m’est garanti par un fournisseur avec le domaine poczta.zx, j’entrerai mail.moja.pl CNAME vers poczta.zx, de sorte que si l’administrateur du courrier change l’adresse IP du serveur de courrier, cela sera pris automatiquement et je n’aurai pas besoin de changer la zone dans moja.pl. NOTE Selon la RFC 1035, une entrée CNAME est possible pour chaque sous-domaine (www.moja.pl) et pour le domaine principal (moja.pl). Cependant, dans ce dernier cas, lorsque nous créons un CNAME pour moja.pl pointant vers, par exemple, inna.pl, si nous entrons www.moja.pl, notre serveur DNS devrait renvoyer la réponse pour www.inna.pl ( !) même si www.moja.pl est une entrée A ou AAAA normale.

Entrée NS

L’entrée ns est le nom de notre serveur de nom où il indique quel serveur interroger pour obtenir des informations sur notre zone. Ces mêmes entrées sont stockées dans les serveurs racine. N’oubliez pas d’utiliser ce que l’on appelle la colle – cela signifie que vous donnez l’adresse IP du serveur à son nom et lors de l’enregistrement du serveur auprès du registraire. Ceci n’est nécessaire que si vous ajoutez un serveur de noms identique à celui de votre domaine, par exemple ns1.moja.pl.

Entrée MX

Une entrée indiquant quel serveur doit être consulté pour distribuer le courrier à un domaine donné, par exemple, si nous envoyons du courrier à ktos@moja.pl, le serveur de courrier interroge le DNS pour trouver l’entrée MX pour la zone moja.pl, s’il trouve une telle entrée, il se connecte au serveur donné.moja.pl et 20 mx2.moja.pl alors nous devrions nous connecter à mx.moja.pl car il a une priorité inférieure, si la connexion est impossible ou renvoie une erreur 4xx (erreur de serveur temporaire) alors nous devrions nous connecter à mx2.moja.pl, etc.

Entrée TXT

Il s’agit d’une valeur texte contenant des informations supplémentaires sur la zone. Il n’est pas nécessaire d’avoir une entrée TXT, mais dans certains cas, c’est conseillé, par exemple pour une entrée SPF qui indique quels ordinateurs sont autorisés à envoyer du courrier pour un domaine donné. Et il ne s’agit pas de l’ordinateur du client mais du serveur qui envoie le courrier après que notre programme ait montré que le message a été envoyé. Par conséquent, cette entrée ne devrait être effectuée que par les administrateurs de courrier, car une entrée erronée peut faire en sorte que notre courrier n’atteigne pas le destinataire parce que le serveur d’envoi n’est pas d’accord avec l’entrée spf.
Une règle similaire s’applique aux entrées DKIM, où une requête txt renvoie la signature de la clé avec laquelle les messages sont signés. Si la clé correspond, cela signifie que le message est authentique et provient d’un serveur autorisé.
Ces deux entrées sont basées sur une requête TXT et sont utilisées pour lutter contre le spam et l’usurpation d’identité de domaine, informations sur lesquelles nous reviendrons dans un autre article.

DNSSEC

L’extension DNSSEC est utilisée pour signer une zone DNS sélectionnée avec une clé de cryptage et rendre cette clé disponible sur les serveurs racine, ce qui rend notre domaine plus sûr et nous donne la possibilité de nous protéger contre l’usurpation d’identité par des sites web. Malheureusement, nos serveurs ne prennent pas encore en charge cette fonctionnalité, qui est en outre très sujette aux erreurs de la part de l’administrateur du domaine, c’est-à-dire de nos utilisateurs par exemple. Un inconvénient supplémentaire est que de nombreux serveurs intermédiaires, par exemple ceux des fournisseurs d’accès à Internet dans notre pays, ne prennent pas en charge cette extension et ne peuvent donc pas valider les paramètres et n’affecteront pas les utilisateurs si une page n’a pas la bonne signature.

Erreurs courantes

Pas de colle

Cela ne se produit que si notre serveur de noms existe sur notre domaine. Par exemple, ns1.moja.pl dans le domaine moja.pl – dans ce cas, il faudra fournir au registraire du domaine les adresses IP de notre serveur de noms et y créer une entrée A pour le sous-domaine ns1. Il n’est pas possible de fournir des enregistrements Glue si notre serveur DNS est situé dans un domaine racine différent de notre domaine ; exemple dns : ns1.test.NET, domaine mon.PL.

Une seule ns par zone, ou 2 ns sur un ordinateur physique

Il est important de garantir l’accès à votre serveur de noms à tout moment, c’est pourquoi vous devriez placer au moins 2 serveurs de noms, sur deux systèmes différents, afin que l’accès à la zone soit possible même si un serveur ne fonctionne pas.

Des zones différentes sur des serveurs différents

Il ne devrait pas arriver que des zones différentes se trouvent sur des serveurs différents, par exemple, ns1 renvoie l’adresse A xxx.yyy.zzz.www pour le sous-domaine www et le serveur ns2 renvoie l’enregistrement CNAME vers, par exemple, moja.pl. Des problèmes de ce type peuvent se produire s’il y a une erreur dans le système de transfert des zones entre les serveurs.

Lazy DNS

Le DNS dit paresseux – lorsqu’un serveur renvoie une zone mais ne donne pas d’information sur le fait qu’il s’agit d’un serveur autorisé, bien qu’il soit enregistré comme tel auprès du registraire du domaine, ou qu’il ne l’est tout simplement pas, il ne demande, par exemple, que le premier serveur de noms pour cette zone. Le danger est que si le premier serveur tombe en panne, le suivant ne sera pas en mesure d’envoyer la zone qu’il aurait dû sauvegarder.

Test de zone

Vous pouvez effectuer un test de zone sur le site Web de DNS Stuff, tout en bénéficiant de conseils gratuits sur les problèmes de zone DNS.