DNS (Domain Name System) je telefonski imenik interneta: domensko ime (na primer cegnev.hu) prevede v naslov IP, na katerem teče spletna stran, poštnim sistemom pa pove, kam dostaviti sporočila, poslana na naslov @cegnev.hu. Če je zapis DNS napačen, se spletna stran ne odpre, sporočila ne prispejo ali pristanejo med neželeno pošto, zato je vredno razumeti, kaj je za kaj.

V tem vodniku razložimo, kako deluje razreševanje imen, za kaj so najpogostejše vrste zapisov, kje in kako jih urejaš, kaj sta TTL in razširjanje ter na kaj paziti, da sprememba ne povzroči izpada.

Kako deluje razreševanje imen?

Ko nekdo v brskalnik vpiše naslov cegnev.hu:

1. Računalnik odgovor najprej išče v lastnem predpomnilniku, nato v rekurzivnem imenskem strežniku ponudnika interneta (ali nastavljenega, na primer 1.1.1.1).
2. Če ga tam ni, rekurzivni imenski strežnik vpraša korenske strežnike, kdo je odgovoren za končnico .hu, nato pa imenski strežnik .hu, kdo je odgovoren za cegnev.hu.
3. Imenski strežnik .hu sporoči avtoritativne imenske strežnike domene (to so zapisi NS, ki si jih navedel pri registraciji domene).
4. Avtoritativni imenski strežnik iz cone DNS domene vrne zahtevani zapis, na primer naslov IP zapisa A.
5. Odgovor gre do vrednosti TTL v predpomnilnik, zato pri naslednjem vprašanju ni več treba prehoditi vse poti.

Pomembno je ločiti dve stvari:

• Imenski strežniki (NS) povedo, kje je cona domene. Te nastaviš pri registrarju domene.
• Zapisi DNS so vnosi v coni, ki jih urejaš tam, kjer se cona upravlja (na primer v nadzorni plošči gostovanja).

Če imenski strežniki kažejo na tvoje gostovanje, je treba zapise spremeniti v nadzorni plošči gostovanja; če kažejo drugam (na primer na Cloudflare), pa tam. Pogosta napaka je, da nekdo zapis spremeni na gostovanju, medtem ko imenski strežniki domene kažejo drugam, zato sprememba nima učinka. O izbiri med pristopoma piše članek o vprašanju zapis A ali menjava imenskih strežnikov, o varni spremembi imenskih strežnikov pa govori ločen vodnik.

Najpogostejše vrste zapisov

Zapis	Za kaj je	Primer
A	Domensko ime → naslov IPv4	cegnev.hu → 203.0.113.10
AAAA	Domensko ime → naslov IPv6	cegnev.hu → 2001:db8::10
CNAME	Vzdevek za drugo ime	www.cegnev.hu → cegnev.hu
MX	Kam dostaviti sporočila, s prednostjo	10 mail.cegnev.hu
TXT	Besedilni podatki: SPF, DKIM, DMARC, potrditev lastništva	v=spf1 ... ~all
CAA	Kateri izdajatelji potrdil smejo izdati potrdilo SSL	0 issue "letsencrypt.org"
NS	Imenski strežniki, ki upravljajo cono	ns1.szolgaltato.hu
SRV	Mesto in vrata storitev (na primer Microsoft 365, SIP)	_sip._tcp ...
PTR	Naslov IP → ime (obratno razreševanje)	Nastavi ga lastnik naslova IP strežnika

Podroben opis vrst zapisov vsebuje članek o vrstah zapisov DNS.

A in AAAA

Osnova dosegljivosti spletne strani. Zapis A navede naslov IPv4 domene, AAAA pa naslov IPv6. Če tvoj strežnik podpira tudi IPv6, je vredno nastaviti oba, vendar le, če naslov IPv6 res deluje: zaradi napačnega zapisa AAAA obiskovalci, ki uporabljajo IPv6, strani ne dosežejo.

CNAME

Ime usmeri na drugo ime, na primer www.cegnev.hu na cegnev.hu ali poddomeno na zunanjo storitev (platformo za spletno trgovino, ponudnika e-pošte). Dve pravili: na koren domene (cegnev.hu) ni mogoče postaviti zapisa CNAME, imenu z zapisom CNAME pa ne sme pripadati noben drug zapis.

MX

Pove, kateri strežnik sprejema pošto domene. Zapisov MX je lahko več, glavni je tisti z manjšo številko prednosti, drugi so rezerva. Če pošto preseliš drugam (na primer na ločeno e-poštno gostovanje ali v Microsoft 365), je treba prepisati zapis MX. Korake v cPanelu opisuje članek o spremembi zapisov MX.

TXT: SPF, DKIM, DMARC

Preverjanje pristnosti e-pošte poteka v zapisih TXT:

• SPF (v=spf1 ...): kateri strežniki smejo pošiljati e-pošto v imenu domene. Domena ima lahko le en zapis SPF; če v tvojem imenu pošilja več storitev, jih je treba vse dodati v en zapis. SPF lahko uporabi največ 10 dodatnih poizvedb DNS (include, a, mx).
• DKIM (selector._domainkey.cegnev.hu): javni ključ digitalnega podpisa sporočil.
• DMARC (_dmarc.cegnev.hu): kaj naj prejemni strežnik naredi s sporočili, ki ne prestanejo preverjanja pristnosti, in kam naj pošlje poročilo.

Google, Yahoo in Microsoft danes od večjih pošiljateljev zahtevajo vse tri, sporočila brez preverjanja pristnosti pa vse pogosteje pristanejo med neželeno pošto. O nastavitvi govorita naša vodnika za DKIM in SPF ter DMARC.

Z zapisi TXT potrdiš tudi lastništvo domene za Google Search Console, Microsoft 365 ali druge storitve.

CAA

Določa, kateri izdajatelji potrdil smejo za tvojo domeno izdati potrdilo SSL. Če zapisa CAA ni, ga lahko izda kateri koli; če je, le navedeni. Če ga nastaviš, ne pozabi dodati izdajatelja samodejnega potrdila tvojega gostovanja (na primer Let’s Encrypt), sicer se podaljšanje potrdila zatakne. O zapisu CAA in njegovi nastavitvi piše naš članek baze znanja.

Video: DNS Records Explained (PowerCert Animated Videos, v angleščini)

TTL in razširjanje

TTL (time to live) v sekundah navede, kako dolgo smejo predpomnilniki hraniti zapis. TTL 3600 pomeni, da se lahko po spremembi še največ eno uro vrača tudi stara vrednost.

• Za stabilne zapise je TTL 1–4 ure (3600–14400) dobra izbira.
• Pred načrtovano spremembo (na primer dan ali dva pred selitvijo strežnika) znižaj TTL na 300 sekund, da se preklop hitro razširi, po selitvi pa ga vrni.

Razširjanje je čas, dokler sprememba ne začne veljati povsod. Pri spremembi zapisa je odvisno od starega TTL in običajno traja od nekaj minut do nekaj ur. Menjava imenskih strežnikov je počasnejša, ker so prizadeti tudi predpomnilniki registra končnice: to je lahko celo 24–48 ur. Na svojem računalniku lahko pospešiš s praznjenjem lokalnega predpomnilnika; korake opisuje članek o brisanju lokalnega predpomnilnika DNS. Več o razširjanju DNS in njegovem trajanju preberi v ločenem članku.

Urejanje zapisov DNS v cPanelu

Če imenski strežniki domene kažejo na tvoje gostovanje cPanel pri aWh:

1. Prijavi se v cPanel in odpri točko menija Zone Editor (Urejevalnik con).
2. Ob domeni izberi možnost Manage (Upravljanje).
3. Nov zapis: z gumbom »Add Record« vnesi ime, TTL, vrsto in vrednost.
4. Sprememba: z gumbom »Edit« ob obstoječem zapisu.
5. Po shranjevanju sprememba začne veljati, ko poteče TTL.

Za nastavitev SPF in DKIM je udobnejša točka menija Email Deliverability v cPanelu: pokaže, kaj manjka, in to popravi z enim klikom.

Poddomena: poddomena (na primer shop.cegnev.hu) je v coni preprost zapis A ali CNAME. Če želiš nanjo postaviti tudi spletno stran na gostovanju, jo dodaj v točki menija Domains v cPanelu, potreben zapis pa cPanel ustvari samodejno. O tem piše članek o dodajanju domen in poddomen v cPanelu.

Zunanja platforma: če spletna stran teče na zunanji storitvi (na primer Shopify ali Wix), ponudnik navede, katere zapise A in CNAME je treba nastaviti; običajno zapis A za koren in CNAME za www.

Preverjanje

• Iz ukazne vrstice: dig cegnev.hu A, dig cegnev.hu MX, dig TXT _dmarc.cegnev.hu (v Linuxu in macOS) oziroma nslookup -type=MX cegnev.hu (v Windows). dig @8.8.8.8 ... vpraša določen imenski strežnik.
• S spletnimi orodji: DNS Checker ali WhatsMyDNS pokažeta, kako zapis vidijo različni imenski strežniki po svetu; MXToolbox preverja zapise za e-pošto.
• Po spremembi preveri, ali se spletna stran naloži, ali sporočila prihajajo in ali HTTPS deluje.

Pogoste napake

• Spreminjaš na napačnem mestu: imenski strežniki domene kažejo drugam, kot urejaš cono.
• Dva zapisa SPF: SPF postane neveljaven, sporočila lahko pristanejo med neželeno pošto. Združi ju v enega.
• Pozabljeni zapisi MX ali TXT pri selitvi: če preklopiš imenske strežnike, je treba v novo cono prenesti tudi zapise za e-pošto in preverjanje, ne le zapisa A.
• Manjkajoča pika na koncu: v nekaterih vmesnikih je treba na konec celotnega imena dodati piko (mail.cegnev.hu.), sicer sistem domeno doda (mail.cegnev.hu.cegnev.hu).
• Napačen zapis AAAA: zaradi nedelujočega naslova IPv6 del obiskovalcev strani ne doseže.
• Previsok TTL pred selitvijo: preklop se zavleče za ure ali dni.
• Zapis CAA brez izdajatelja potrdil: samodejni SSL se ne podaljša.

Če si kaj pokvaril: obnovi prejšnjo vrednost. Pred spremembo je vredno narediti varnostno kopijo celotne cone (v cPanelu z izvozom cone ali s posnetkom zaslona). Napaka je opazna toliko časa, kolikor je TTL zapisa; če ne veš, kakšna je bila pravilna vrednost, nam piši.

DNSSEC

DNSSEC z digitalnim podpisom ščiti odgovore DNS, zato napadalci na poizvedbo ne morejo dati lažnega odgovora. Za vklop potrebuješ imenski strežnik, ki podpisuje cono, in zapis DS, nastavljen pri registrarju. To je koristna zaščita, vendar lahko ob napačni nastavitvi domena postane povsem nedosegljiva, zato jo pred menjavo imenskih strežnikov vedno preveri. O tem pišeta naš članek o DNSSEC in članek o težavah zaradi DNSSEC.

Povzetek

Zapisi DNS odločajo, kam kaže tvoja spletna stran in kam prihaja tvoja e-pošta. Vedi, kje je tvoja cona (to povedo imenski strežniki), razumi glavne vrste zapisov (A, AAAA, CNAME, MX, TXT, CAA), pred načrtovano spremembo znižaj TTL in po spremembi vedno preveri rezultat. Za e-pošto so SPF, DKIM in DMARC danes nujni.

Pogosta vprašanja

V kolikšnem času se zapisi DNS osvežijo?

Sprememba zapisa začne veljati, ko poteče stari TTL, običajno v nekaj minutah do nekaj urah. Menjava imenskih strežnikov lahko traja tudi 24–48 ur.

Ali lahko spremenim DNS, če moja domena ni pri aWh?

Da. Če imenski strežniki domene kažejo na tvoje gostovanje aWh, zapise urejaš v nadzorni plošči gostovanja, ne glede na to, kje je domena registrirana. Če so imenski strežniki drugje, jih je treba spremeniti tam.

Kaj se zgodi, če pomotoma izbrišem zapis A?

Spletna stran po izteku TTL postane nedosegljiva. Obnovi ga s prejšnjim naslovom IP; popravek se razširi enako, glede na TTL.

Koliko zapisov MX imam lahko?

Več: glavni je tisti z manjšo številko prednosti, drugi so rezerva. Navedi le strežnike, ki res sprejemajo pošto domene.

Kakšen TTL je priporočljiv?

Za stabilne zapise 3600–14400 sekund, pred selitvijo ali načrtovano spremembo začasno 300.

Kakšna je razlika med imenskim strežnikom in zapisom DNS?

Imenski strežnik (NS) pove, kateri strežnik upravlja cono domene; zapisi DNS so vnosi v coni (A, MX, TXT itd.), ki vsebujejo dejanske naslove in nastavitve.

Ali potrebujem zapis AAAA, če imam zapis A?

Ni obvezen, a če ima tvoj strežnik delujoč naslov IPv6, ga je vredno nastaviti. Napačnega zapisa AAAA pa raje ne dodajaj.

Ali potrdilo SSL potrebuje zapis DNS?

Za brezplačno, samodejno potrdilo zadošča, da zapis A domene kaže na gostovanje. Pri nekaterih potrdilih (na primer wildcard) je treba za preverjanje dodati začasen zapis TXT ali CNAME; če uporabljaš zapis CAA, mora biti v njem naveden izdajatelj.

• dns
• vodniki
• za začetnike
• cpanel