NS — запись с именем сервера. Делегирование — её роль на границе родительской зоны; такой же тип на вершине дочерней зоны принадлежит её авторитетному набору.
DNS и разрешение имён
Делегирование DNS
Определение
Делегирование DNS — передача обслуживания дочерней части пространства имён её серверам с помощью записей NS в родительской зоне.
Также ищут: zone delegation · DNS delegation
Зачем это знать
Рабочие записи на новом сервере не помогают, если родитель продолжает направлять резолверы к старым серверам. Перенос зоны требует согласованности двух административных сторон.
Связи из словаря
Карта понятия
Делегирование DNS
Доказательная часть
Что подтверждено
Делегирование создаётся, когда родительская зона публикует набор записей NS для начала дочерней зоны.
Граница применимости: Классическое делегирование DNS от родительской зоны дочерней.
Родительская зона обычно направляет запрос к авторитетным серверам дочерней зоны, а не отвечает данными из её содержимого.
Граница применимости: Итеративное разрешение имени через делегирование.
Если имя сервера дочерней зоны находится внутри самой этой зоны, для начала обхода нужны адресные glue-записи у родителя. Иначе получение адреса сервера зависело бы от обращения к нему же.
Граница применимости: Зависимое делегирование с сервером имён внутри делегируемой зоны; правила дополнительных адресов вне этой зоны рассматриваются отдельно.
Адреса glue помогают достичь сервера следующей зоны. Их присутствие в ответе родителя не делает родителя авторитетным источником произвольных записей дочерней зоны.
Граница применимости: Назначение glue и различие авторитетных и вспомогательных данных в RFC 2181.
NS в родительской зоне и NS на вершине дочерней хранятся как разные наборы данных. Изменение одного набора само по себе не меняет второй.
Граница применимости: Обычное делегирование DNS; синхронизация через конкретную панель управления не предполагается.
Делегирование может указывать на сервер, который не обслуживает нужную дочернюю зону авторитетно. Наличие ответа от его адреса ещё не подтверждает исправность делегирования.
Граница применимости: Неисправное делегирование и роли серверов по RFC 9499; проверяется точная дочерняя зона.
При переносе подписанной зоны записи NS и DS решают разные задачи: первые задают серверы, вторые связывают ключ. Для успешной проверки DNSSEC новый путь должен сохранить применимую цепочку доверия.
Граница применимости: Сопоставление делегирования DNS и защищённого делегирования DNSSEC; это не универсальная инструкция смены ключей или регистратора.
Граница терминов
Не путать
Обычное делегирование задаёт направление поиска. Защищённая цепочка дополнительно проверяет связь DS с ключом дочерней зоны; достижимость сервера не заменяет эту проверку.
Перед спецификацией
Что проверить
- Получите делегирование именно из родительской зоны.
- Сверьте его NS с ожидаемыми серверами и NS дочерней зоны.
- Для имён серверов внутри дочерней зоны проверьте адресные glue-записи.
- Запросите точную дочернюю зону у каждого указанного сервера.
- Отличите авторитетное обслуживание от рекурсивного или ошибочного ответа.
- При DNSSEC отдельно проверьте актуальность DS и соответствующей цепочки ключей.
- В плане переноса учтите кэшированные NS и адреса старых серверов.
Открытые основания
Первоисточники
- Clarifications to the DNS Specification
Уточняет RRset, TTL, authoritative ranking и canonical-name semantics.
Утверждения: 04
- Protocol Modifications for the DNS Security Extensions
Определяет signing, authoritative serving и resolver validation behavior DNSSEC.
Утверждения: 07
- Domain Names — Implementation and Specification
Задаёт DNS wire format, master files и базовые resource records A, CNAME, MX, NS и SOA.