NS-записи и делегирование домена: как это работает

NS-записи определяют, какие DNS-серверы считаются авторитетными для доменной зоны. Если делегирование настроено неправильно, изменения A, AAAA, MX и других записей могут быть совершенно корректными в панели DNS, но интернет их не увидит.

Что такое NS

example.com. IN NS ns1.provider.net.
example.com. IN NS ns2.provider.net.

Что означает авторитетный DNS

Авторитетный сервер хранит данные зоны и отвечает за окончательные данные этой зоны.

Что такое делегирование

Родительская зона сообщает, какие NS обслуживают дочерний домен.

Пример цепочки

.
↓
com
↓
example.com
↓
ns1.provider.net

Как посмотреть NS

dig +short example.com NS

Как проверить сервер напрямую

dig @ns1.provider.net example.com A

Почему панель DNS может показывать одно, а интернет другое

Возможно, вы редактируете зону у провайдера, NS которого больше не назначены домену.

Несколько NS

Обычно домен имеет минимум несколько авторитетных серверов для отказоустойчивости.

NS должны быть согласованы

dig @ns1.provider.net example.com A
dig @ns2.provider.net example.com A

Если ответы различаются, пользователи могут периодически получать разные результаты.

Что происходит при смене NS

Меняется само делегирование зоны, поэтому сценарий отличается от простой смены A-записи.

Как проверить делегирование

dig example.com NS
dig +trace example.com

Что показывает dig +trace

Команда позволяет увидеть путь от корневых серверов к TLD и авторитетным NS домена.

Glue records

Glue необходимы в случаях, когда для разрешения имени nameserver иначе возникла бы циклическая зависимость.

Пример потенциальной зависимости

example.com NS ns1.example.com

Чтобы найти IP ns1.example.com, resolver уже должен каким-то образом обратиться к зоне example.com. Здесь и помогает информация родительской зоны.

Ошибка: указан старый NS

После переезда к новому DNS-провайдеру старые NS должны быть заменены у регистратора.

Ошибка: один NS старый, другой новый

Такая конфигурация способна давать непредсказуемые ответы.

Ошибка: NS существует, но сервер недоступен

Нужно проверять не только имя NS, но и реальную доступность DNS-службы.

NS и DNSSEC

При переносе зоны с DNSSEC особенно важно корректно обновить связанный DS и ключи.

NS и TTL

Информация о делегировании и самих DNS-записях кешируется на разных уровнях.

Как проверить через NexIP

В NexIP удобно сравнить NS, A/AAAA и другие записи с локальными результатами.

Когда ожидание не поможет

• делегирование у регистратора ошибочно;
• NS не обслуживает вашу зону;
• серверы содержат разные версии зоны;
• DNSSEC настроен неверно.

Практический чек-лист

1. Проверить NS у домена.
2. Проверить каждый NS напрямую.
3. Сравнить SOA.
4. Сравнить A/AAAA.
5. Проверить делегирование через trace.
6. Проверить DNSSEC.

Связанные статьи

Почему домен не открывается

Что такое DNS-записи

FAQ

Где меняются NS?

Обычно в панели регистратора домена.

Где меняются A и MX?

В DNS-зоне у того провайдера, на чьи NS делегирован домен.

Как проверить каждый NS?

dig @имя-NС example.com A