DNS-записи: справочник от A до ALIAS

DNS (Domain Name System) — распределённая система, которая по имени домена сообщает, где находится сайт, куда доставлять почту и кому принадлежит домен. Каждый такой ответ хранится в зоне домена в виде записи определённого типа. Эта статья — справочник по типам записей. Как настраивать DNS для сайта и почты по шагам, разобрано в цикле «Настройка DNS для почты и сайта»: основные записи A и MX, SPF, DKIM и DMARC, настройка и проверка, BIMI.

Два принципа: TTL и делегирование

TTL — время жизни записи в кеше

У каждой записи есть TTL — число секунд, в течение которого резолверы и клиенты могут хранить ответ, не спрашивая заново.

Для стабильных записей (A, MX) обычно ставят от часа до суток. Перед переездом TTL заранее снижают: об этом — в разделе «TTL при переезде» ниже.

Делегирование и NS-серверы

Родительская зона (например, .ru или .com) передаёт управление вашей зоной example.ru серверам, указанным в записях NS. Серверов должно быть не меньше двух, желательно в разных сетях: этого требует RFC 2182 и правила большинства регистраторов. Если один сервер перестанет отвечать, резолверы обратятся к другому.

Базовые записи

У имени с CNAME не может быть других записей (RFC 1034, RFC 2181). Поэтому CNAME нельзя поставить на корень домена (example.ru): там всегда есть SOA и NS.

Служебные записи

NS — серверы, отвечающие за зону

NS-записи есть в двух местах: у регистратора (в родительской зоне, это и есть делегирование) и в самой зоне. Они должны совпадать — расхождение приводит к тому, что часть резолверов получает устаревшие ответы.

SOA — параметры зоны

Одна на зону, описывает основной сервер, адрес ответственного и таймеры обновления вторичных серверов.

example.ru. IN SOA ns1.example.ru. admin.example.ru. (
    2025111101   ; Serial (ГГГГММДДNN)
    7200         ; Refresh — как часто вторичные серверы проверяют зону
    3600         ; Retry — повтор при неудаче
    1209600      ; Expire — когда вторичный сервер перестаёт отвечать без связи с основным
    86400        ; Minimum — TTL отрицательных ответов (RFC 2308)
)

Серийный номер увеличивают при каждом изменении зоны, иначе вторичные серверы не заберут обновление. Формат ГГГГММДДNN (дата и номер правки за день) удобен, но не обязателен. У облачных DNS-провайдеров SOA обычно ведёт сам провайдер.

TXT — произвольный текст

Используется для SPF, DKIM, DMARC и подтверждения владения доменом:

example.ru. TXT "v=spf1 mx include:_spf.yandex.net -all"
example.ru. TXT "yandex-verification=abc123"
_dmarc.example.ru. TXT "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.ru"

Подробно о почтовых записях — в части 2 цикла DNS.

CAA — кому разрешено выпускать сертификаты

Запись ограничивает список центров сертификации, которые могут выпустить TLS-сертификат для домена (RFC 8659):

example.ru. CAA 0 issue "letsencrypt.org"

Если CAA-записей нет, выпускать может любой центр. О бесплатных центрах сертификации — в статье «За пределами Let’s Encrypt», о выпуске через DNS — в «SSL-сертификаты через DNS».

PTR — обратная запись

Сопоставляет IP-адресу имя. Хранится в зоне in-addr.arpa (для IPv4) и настраивается у владельца адресов — обычно у хостинг-провайдера, а не в зоне домена. Для почтового сервера PTR обязателен: без него письма часто уходят в спам.

SRV — сервер и порт службы

SRV сообщает, на каком хосте и порту работает служба:

_minecraft._tcp.play.example.ru. IN SRV 10 5 25565 mc.example.ru.

SRV используют SIP, XMPP, Kerberos, LDAP в Active Directory и некоторые игры.

ALIAS (ANAME) и CNAME на корне домена

Ограничение CNAME мешает, когда корень домена нужно направить на имя платформы (например, на адрес балансировщика облачного провайдера). DNS-провайдеры решают это по-своему: сами разрешают целевое имя и отдают клиенту готовые A/AAAA-записи.

Это не стандартный тип записи из RFC, а функция конкретного провайдера: при переезде к другому DNS-провайдеру её придётся настраивать заново.

GeoDNS — технология, а не тип записи

GeoDNS отдаёт разные ответы в зависимости от того, откуда пришёл запрос: например, пользователям из Европы — адрес европейского сервера, из Азии — азиатского. Местоположение определяется по адресу резолвера или по подсети клиента, если резолвер её передаёт (EDNS Client Subnet, RFC 7871). Такую маршрутизацию предлагают CDN и DNS-провайдеры, например Route 53 (geolocation routing).

Другие записи

Как проверить записи

dig NS example.ru +trace           # делегирование от корня до ваших NS
dig A example.ru                   # адрес сайта
dig MX example.ru                  # почтовые серверы
dig TXT example.ru                 # SPF и подтверждения
dig TXT _dmarc.example.ru          # DMARC
dig SOA example.ru                 # параметры зоны, серийный номер
dig CAA example.ru                 # разрешённые центры сертификации
dig -x 192.0.2.1                   # PTR для адреса
dig example.ru +dnssec             # подписи DNSSEC

Чтобы проверить конкретный сервер, а не кеш резолвера, укажите его явно: dig A example.ru @ns1.example.ru.

TTL при переезде

1. За двое суток (или за время, не меньшее текущего TTL) снизьте TTL переносимых записей до 300 секунд.
2. Дождитесь, пока истечёт старый TTL: только после этого все резолверы начнут спрашивать часто.
3. Поменяйте записи.
4. Когда всё проверено, верните TTL к часу или суткам.

Итог

Для сайта и почты большинству компаний достаточно A/AAAA, MX, TXT (SPF, DKIM, DMARC), NS и CAA. SRV, ALIAS и GeoDNS нужны в отдельных задачах: службы на нестандартных портах, корень домена на облачной платформе, распределение трафика по регионам.

Первоисточники:

• RFC 1034 и RFC 1035 — основы DNS
• RFC 2181 — уточнения, в том числе про CNAME
• RFC 2182 — выбор вторичных DNS-серверов
• RFC 8659 — CAA
• RFC 9460 — SVCB и HTTPS
• Cloudflare: CNAME flattening
• AWS Route 53: alias records