Module 2 · 2.3

Français

Nederlands English Deutsch Français Dansk Español Svenska Italiano Polski Português Română Čeština Ελληνικά Български Hrvatski Norsk Lietuvių Slovenščina

Modifier les serveurs de noms et les glue records

Module 2: Serveurs de noms et zones · Temps de lecture : 8 minutes

Objectif pédagogique: Après cette leçon, vous saurez modifier vos serveurs de noms en toute sécurité, expliquer ce qu'est un glue record et reconnaître pourquoi un registre peut refuser une modification.

Notions clés: modification des serveurs de noms via le bureau d'enregistrement, glue record, serveurs de noms propres (comme ns1.example.com), contrôle de prédélégation par le registre, lame delegation

Quand modifier les serveurs de noms ?

Vous modifiez les serveurs de noms d'un domaine lorsque vous souhaitez confier la gestion de votre DNS à une autre partie. Par exemple :

vous passez à un autre hébergeur et souhaitez que celui-ci gère le DNS ;
vous souhaitez utiliser un service DNS comme Cloudflare ;
une plateforme de site web vous demande de pointer les serveurs de noms vers elle ;
vous revenez aux serveurs de noms par défaut de votre bureau d'enregistrement.

C'est une étape importante : après le changement, la nouvelle partie détermine tous les enregistrements de votre domaine, y compris ceux de la messagerie. Si vous souhaitez seulement faire fonctionner votre site web ou votre messagerie ailleurs, vous n'avez généralement pas besoin de modifier les serveurs de noms. Il suffit alors d'adapter quelques enregistrements (modules 3 et 4).

L'ordre à suivre en toute sécurité

Établissez une liste ou une sauvegarde de vos enregistrements actuels. De nombreux panneaux disposent d'un bouton permettant d'exporter la zone ou d'en faire une sauvegarde.
Préparez la zone chez la nouvelle partie. Reprenez tous les enregistrements dont vous avez besoin : site web (A, AAAA, www), messagerie (MX, et l'enregistrement A du serveur de messagerie s'il relève de votre domaine), SPF, DKIM, DMARC, enregistrements de vérification, sous-domaines.
Vérifiez la nouvelle zone en interrogeant directement les nouveaux serveurs de noms, avant même de faire le changement. Par exemple :
```
dig @ns1.newprovider.example example.com MX
```
Si les nouveaux serveurs de noms répondent avec les bons enregistrements, la zone est prête.
DNSSEC est-il activé ? Organisez alors d'abord la transmission des clés. Désactivez DNSSEC et attendez que les anciennes données DS aient disparu des caches, ou transmettez les nouvelles données DS en même temps. Sinon la chaîne se rompt et votre domaine devient inaccessible pour les résolveurs validants (leçon 8.1).
Modifiez les serveurs de noms chez votre bureau d'enregistrement. Renseignez-en au moins deux. Le bureau d'enregistrement les transmet au registre.
Patientez et vérifiez. Les résolveurs conservent en mémoire les anciens serveurs de noms jusqu'à l'expiration du TTL de la délégation. Pour .nl, c'est une heure, pour .com, deux jours. En général, comptez de quelques heures à une journée. Laissez l'ancienne zone inchangée pendant ce temps.

Pourquoi un registre peut-il refuser vos serveurs de noms ?

Certains registres vérifient vos serveurs de noms avant d'appliquer la modification. On appelle cela un contrôle de prédélégation. DENIC (.de) est connu pour cela : si les nouveaux serveurs de noms ne connaissent pas encore votre domaine, ou si les réponses des serveurs de noms ne concordent pas entre elles, la modification est refusée. D'autres registres peuvent également effectuer des contrôles, ou appliquer des règles sur le nombre de serveurs de noms.

La solution est toujours la même : préparez d'abord la zone chez la nouvelle partie, puis réessayez. C'est l'étape 2 de l'ordre sécurisé. Pour .nl, vous pouvez tester vos serveurs de noms au préalable avec un outil de test public comme Zonemaster.

Lame delegation

Si, chez le registre, les serveurs de noms pointent vers des serveurs qui ne connaissent pas votre domaine, on parle de lame delegation (une délégation « boiteuse »). Le résolveur est renvoyé vers un serveur qui n'a pas de réponse. Conséquence : votre domaine ne fonctionne pas, ou seulement parfois (si l'un des serveurs de noms est correct).

Cela se produit par exemple lorsque :

vous avez modifié les serveurs de noms avant que la nouvelle partie n'ait préparé la zone ;
vous avez quitté un ancien prestataire, qui a supprimé la zone, alors que les serveurs de noms pointent encore vers lui ;
il y a une faute de frappe dans un nom de serveur de noms.

Vous vérifiez cela en interrogeant chaque serveur de noms séparément. Chaque serveur de noms doit donner une réponse, avec l'indicateur « authoritative » (dans dig, vous voyez aa dans les flags).

Serveurs de noms propres et glue records

Vous pouvez aussi utiliser des serveurs de noms portant un nom sous votre propre domaine, comme ns1.example.com et ns2.example.com. On appelle cela des serveurs de noms propres ou vanity nameservers. Un problème de l'œuf et de la poule apparaît alors :

pour trouver example.com, le résolveur doit s'adresser à ns1.example.com ;
mais pour trouver l'adresse IP de ns1.example.com, il doit consulter la zone de example.com.

C'est pourquoi le registre ajoute, en plus du nom du serveur de noms, l'adresse IP dans la délégation. Cette adresse supplémentaire s'appelle un glue record (enregistrement de liaison) :

; in de zone van .com, bij de registry (Verisign)
example.com.       NS  ns1.example.com.
example.com.       NS  ns2.example.com.
ns1.example.com.   A   192.0.2.53      ; glue
ns2.example.com.   A   198.51.100.53   ; glue

Un glue record n'est nécessaire que si le serveur de noms relève du domaine lui-même (ou d'un domaine qui dépend de la même délégation). Si vous utilisez ns1.hosting.example pour example.com, aucun glue record n'est nécessaire : cette adresse figure dans la zone de hosting.example.

Le glue se gère via votre bureau d'enregistrement, souvent sous un bouton tel que « Enregistrer un serveur de noms propre », « Child nameserver » ou « Créer un hôte ». Si l'adresse IP de votre serveur de noms change, vous devez aussi mettre à jour le glue chez le registre. Sinon, les résolveurs continueront de pointer vers une ancienne adresse.

Pour la plupart des titulaires de domaine, les serveurs de noms propres ne sont pas nécessaires. Ils sont surtout utilisés par les hébergeurs et les revendeurs qui souhaitent afficher leur propre nom.

En pratique : à quoi cela ressemble dans un panneau

Dans Mon WebOké, allez dans Mes domaines, cliquez sur le domaine, puis cliquez sur le crayon de la carte Serveurs de noms. Renseignez au moins deux serveurs de noms. Les serveurs de noms propres se créent d'abord à cet endroit avec le bouton pour un serveur de noms propre (glue). Chez d'autres bureaux d'enregistrement, cela s'appelle souvent « Modifier les serveurs de noms », « Serveurs DNS » ou « Custom nameservers », et pour le glue « Child nameservers » ou « Hostrecords » ; les champs sont les mêmes.

Résumé

En modifiant les serveurs de noms, vous confiez la gestion de tous vos enregistrements à une autre partie.
Ordre sécurisé : sauvegarde, préparation de la zone, test des nouveaux serveurs de noms, gestion de DNSSEC, puis seulement le changement.
Certains registres (comme DENIC) refusent une modification si les nouveaux serveurs de noms n'ont pas encore la zone.
Lame delegation : le registre pointe vers des serveurs de noms qui ne connaissent pas le domaine.
Les glue records sont des adresses IP enregistrées chez le registre pour les serveurs de noms relevant du domaine lui-même.

Quiz

Exercice

Exercice Z2.3 : Tous les serveurs de noms sont-ils identiques ? Recherchez les serveurs de noms de sidn.nl (le site web de SIDN, le registre de .nl aux Pays-Bas). Interrogez ensuite chaque serveur de noms séparément pour obtenir l'enregistrement SOA de sidn.nl (dig @ns1.sidn.nl sidn.nl SOA, ou un outil en ligne où vous pouvez choisir le serveur). Indiquez, pour chaque serveur de noms, le numéro de série, et s'ils sont identiques.

Pour aller plus loin

Ces articles décrivent la situation chez WebOké. Chez d'autres bureaux d'enregistrement, le fonctionnement est comparable.

Cookies sur WebOké

Paramètres des cookies

Nécessaires

Marketing