NS, SOA et autres enregistrements

Module 5: Autres enregistrements · Temps de lecture : 7 minutes

Objectif pédagogique : après cette leçon, vous reconnaissez les autres enregistrements que vous rencontrez dans une zone, et vous savez que la plupart du temps, il ne faut pas y toucher.

Notions clés : NS dans la zone, SOA (numéro de série, refresh, retry, expire, minimum), TLSA (DANE), HTTPS et SVCB, DS et DNSKEY

Des enregistrements qui sont simplement là

En ouvrant l'écran DNS d'un domaine, vous voyez souvent, en plus des A, CNAME, MX et TXT, quelques enregistrements que vous n'avez pas créés vous-même. La plupart sont là pour une bonne raison, et vous les laissez tels quels. Dans cette leçon, vous apprenez à les reconnaître, pour ne pas vous inquiéter et ne pas les supprimer par erreur.

NS : les serveurs de noms dans votre propre zone

Dans la leçon 2.1, vous avez vu que le registre enregistre quels serveurs de noms sont associés à votre domaine. Ces mêmes serveurs de noms figurent aussi dans votre propre zone sous forme d'enregistrements NS :

example.com.  3600  IN  NS  ns1.hosting.example.
example.com.  3600  IN  NS  ns2.hosting.example.

Les deux listes doivent correspondre. Si vous modifiez les enregistrements NS dans votre zone, rien ne change chez le registre : pour changer de serveurs de noms, cela se fait chez votre registrar (leçon 2.3). Laissez donc les enregistrements NS du domaine nu tels quels.

Un enregistrement NS sur un sous-domaine est en revanche quelque chose que vous pouvez créer vous-même. Vous confiez ainsi la gestion de ce sous-domaine à un autre acteur :

lab.example.com.  3600  IN  NS  ns1.otherprovider.example.

Tout ce qui se trouve sous lab.example.com sera alors interrogé auprès de cet autre serveur de noms. On appelle cela une délégation, exactement ce qu'un registre fait pour l'ensemble de votre domaine.

SOA : l'en-tête technique

Chaque zone possède exactement un enregistrement SOA (Start of Authority), sur le domaine nu. De nombreux panneaux ne l'affichent même pas. Voici à quoi il ressemble :

example.com.  3600  IN  SOA  ns1.hosting.example. hostmaster.example.com. (
                              2026110701  ; numéro de série
                              14400       ; refresh
                              3600        ; retry
                              1209600     ; expire
                              300 )       ; minimum

Le numéro de série est utile pour la recherche de problèmes. Si deux serveurs de noms d'un même domaine donnent un numéro de série différent, c'est qu'ils ont une version différente de la zone. L'un renvoie alors peut-être déjà votre nouvel enregistrement, l'autre encore l'ancien. Avec un outil de recherche (leçon 8.2), vous pouvez consulter le numéro de série de chaque serveur de noms.

TLSA : DANE pour l'e-mail

Un enregistrement TLSA (RFC 6698) contient une empreinte du certificat d'un serveur. C'est ce qu'on appelle DANE. Un serveur de messagerie expéditeur peut ainsi vérifier qu'il communique bien avec votre serveur de messagerie et non avec un intrus. DANE ne fonctionne que si votre domaine utilise DNSSEC (leçon 8.1). Vous voyez les enregistrements TLSA sous des noms comme :

_25._tcp.mail.example.com.  IN  TLSA  3 1 1 <code hexadécimal long>

Cela signifie : port 25, protocole tcp, serveur mail.example.com. Un enregistrement TLSA qui ne correspond plus au certificat (par exemple après un renouvellement avec une nouvelle clé) fait refuser le courrier par les expéditeurs les plus stricts. Ne le créez que si votre panneau le met à jour automatiquement.

HTTPS et SVCB : des indications pour le navigateur

L'enregistrement HTTPS et son cousin plus général SVCB (RFC 9460) sont récents. Ils donnent au navigateur des informations à l'avance, par exemple le fait que le site prend en charge HTTP/3 et sur quelles adresses il fonctionne. Cela rend la première connexion un peu plus rapide.

example.com.  300  IN  HTTPS  1 . alpn="h3,h2" ipv4hint=192.0.2.10

Attention : malgré son nom, l'enregistrement HTTPS n'a rien à voir avec votre certificat SSL. Sans enregistrement HTTPS, https fonctionne quand même normalement. Les grands fournisseurs DNS disposant de leur propre réseau configurent souvent cet enregistrement automatiquement. Il est rarement nécessaire de le créer soi-même.

DS et DNSKEY : DNSSEC

Les enregistrements DNSKEY contiennent les clés publiques avec lesquelles votre zone est signée. L'enregistrement DS est une empreinte de cette clé et ne figure pas dans votre propre zone, mais chez le registre. Ensemble, ils forment la chaîne de confiance de DNSSEC. Vous ne les gérez pas manuellement, mais via la fonction DNSSEC de votre fournisseur DNS. La leçon 8.1 explique comment cela fonctionne et ce qui peut mal se passer lors d'un transfert.

Résumé

• Les enregistrements NS sur le domaine nu, vous les laissez tels quels ; les serveurs de noms se changent chez le registrar. Un enregistrement NS sur un sous-domaine en confie la gestion à un tiers.
• L'enregistrement SOA est l'en-tête de la zone, avec un numéro de série qui augmente à chaque modification. Le champ minimum détermine le cache négatif.
• TLSA (DANE) associe un certificat à un serveur et ne fonctionne qu'avec DNSSEC.
• Les enregistrements HTTPS et SVCB sont des indications pour le navigateur et n'ont rien à voir avec votre certificat.
• DS et DNSKEY font partie de DNSSEC et se gèrent via la fonction DNSSEC.

Quiz

Exercice

Exercice Z5.3 : SOA, administrateur et cache négatif. Recherchez l'enregistrement SOA de wikipedia.org. Indiquez l'adresse e-mail de l'administrateur (le deuxième champ, avec un @ à la place du premier point) et la valeur du dernier champ (minimum, le cache négatif) en secondes.

Il n'y a pas d'exercice de configuration pour cette leçon : ces enregistrements, vous les créez rarement vous-même.

Pour aller plus loin

Ces articles décrivent les panneaux de WebOké ; dans d'autres panneaux, le fonctionnement est comparable.

• Guide DirectAdmin 5.2: Ouvrir l'Administration DNS et lire les enregistrements
• Guide WebOké 5.8: DNSSEC et DANE
• Guide WebOké 5.3: Modifier les serveurs de noms