主页 / server / 问题 / 1085588
Accepted
Abel Melquiades Callejo
Asked: 2021-12-07 18:49:28 +0800 CST

NS 记录的自托管与外包域名

  • 772

my-manageable-zone.com

假设您有一个公共 IP 地址为的 DNS 服务器，205.251.197.174并且您计划将其作为my-manageable-zone.com. 基本上，在准备 DNS 服务器成为名称服务器时，您有两种选择：

  • 自托管：可以在同一个zone下创建一个A-record子域；或者
  • 外包：您可以从其他区域创建 A 记录子域

自托管

我的 DNS 服务器中的记录集

记录 记录类型 价值
ns-1.my-manageable-zone.com. 一个 205.251.197.174
my-manageable-zone.com. NS ns-1.my-manageable-zone.com.

外包

其他 DNS 服务器内的记录集

记录 记录类型 价值
ns-1.some-other-zone.com. 一个 205.251.197.174

我的 DNS 服务器中的记录集

记录 记录类型 价值
my-manageable-zone.com. NS ns-1.some-other-zone.com.

真实世界

我在网上查看了人们在域名服务器方面的做法。基本上，在命令行中我尝试了类似的东西：

dig +short NS google.com
dig +short NS nsa.gov
dig +short NS cloudflare.com
dig +short NS mit.edu

结果

google.com 美国国家安全局网站 cloudflare.com 麻省理工学院
ns2.google.com. a11-66.akam.net. ns3.cloudflare.com. use5.akam.net.
ns1.google.com. a24-65.akam.net. ns4.cloudflare.com. use2.akam.net.
ns3.google.com. a1-107.akam.net. ns5.cloudflare.com. asia2.akam.net.
... ... ... ...

在现实世界中，它实际上是自托管和外包的健康组合。实施自托管或外包时需要注意哪些事项？

更新

我对术语进行了纠正。我所说的“自托管”实际上是指In-bailiwick，每当我说“外包”时，它实际上是指Out-of-bailiwick。

domain-name-system nameserver ns-record dns-zone

2 个回答

  1. Best Answer

    实施自托管或外包时需要注意哪些事项？

    如果您认真对待您的域名，则不应依赖任何单一的 DNS 提供商，而应拥有其中的 2 个。您不能随意选择它们并希望它会起作用，它需要在两者之间进行充分协调，但有可能，甚至有完整的 DNSSEC 支持。

    无论您选择哪个 DNS 提供商，总有一天您会遇到问题。如果您的域非常重要（及其上的服务），您应该使用多个 DNS 提供商。

    您没有使用正确的术语来描述您的描述。欢迎您阅读关于 DNS 术语的 RFC 8499。您将看到您所描述的是 in-bailiwick 名称服务器（ns.example.com作为名称服务器example.com）或完全外部的名称服务器。

    您似乎更关心命名，或者至少这是我阅读您的问题的方式，而不是真正提供服务的位置，因为这几乎是正交的：无论您的名称服务器是否在辖区，从技术上讲他们可以是否在您的控制和维护之下。

    对于任何情况，您都找不到任何唯一的建议，两者都有优势。但是，我强烈建议不要使用“in-bailiwick”案例，直到您完全了解 DNS 及其工作原理，特别是当它与注册平面相交时，因为对于 in-bailiwick 域名服务器，您需要在注册表，通过域的注册商，不幸的是，这通常是一个痛点。

    如果您使用外部名称服务器，关于命名（还有其他注意事项：它们不应该托管在同一个数据中心，也不应该都在同一个 AS 后面 - 除非任播正在发挥作用 - 或相同的 IP 块等），你应确保名称服务器在多个注册机构中使用名称（因此，不仅是多个 TLD，如果您选择com并且net两个 TLD 都在同一个注册机构中）。

    所有重要的 DNS 提供商都会为他们的客户提供该选项，并且最重要的是，名称服务器集可能因一个区域而异，或者一个客户端与另一个区域不同，以实现更好的隔离和可能不同级别的服务。

    此外，一旦你这样做了，你就会创建一个传递依赖。您的域的安全级别与用于命名对您的域名具有权威性的名称服务器的域名的安全级别相关联。

    例如，如果您想做 DNSSEC，在您的区域中就可以了，但是如果您的区域的权威名称服务器本身在未启用 DNSSEC 的区域中，它会降低您区域的真正安全性。

    • 4

  2. 外包应通过支付订阅费用来提供冗余和较低的采购和维护 DNS 服务器的间接费用。没有亲自与他们打交道，所以我不能代表提供这些服务的公司说话，但如果你需要更新你在他们的时间的记录，他们什么时候完成的。通过拥有自己的域名，您可以完全控制构建子域并在您选择时将其上线。它更多的是关于谁拥有域的 SOA 和初始响应的问题。我有一个他们汇总了我们的 SOA 和关键外部记录的地方，这很好，直到我们不得不对我们的交换服务器进行升级。在这一点上，我们一直停留在一个停止点，直到他们更新了域的 MX 记录。所以真的你可以去，如果您外包，则在升级和更换面向公众的服务器或添加新的面向公众的功能时，您必须做出相应的计划。什么更重要的成本和资源？或者您对不断变化的环境做出反应的速度？

    • 0

相关问题