NSSET

NSSET je sdílený objekt českého doménového registru, který sdružuje jmenné servery a kontakty jejich technických správců. Doména na sadu odkazuje jejím identifikátorem. NSSET tak popisuje, na které autoritativní DNS servery má být delegována; neobsahuje samotný web, e-mailové schránky ani všechny záznamy doménové zóny.

Co sada obsahuje a proč má vlastní identifikátor

V registru CZ.NIC a systému FRED je NSSET samostatný objekt. Vedle svého identifikátoru obsahuje názvy nameserverů, příslušné technické kontakty a v potřebných případech adresy serverů pro glue záznamy. Dokumentace FRED rozlišuje tento objekt od kontaktu, domény a sady DNSSEC klíčů.

Jednu sadu může používat více domén. Poskytovatel DNS proto může spravovat společné technické nastavení a zákazníkům přiřazovat stejný NSSET. Výhoda současně vytváří závislost: změna obsahu sdílené sady se může týkat více přiřazených domén. Před úpravou je důležité vědět, které domény ji skutečně používají.

Identifikátor sady je údaj registru. V běžném DNS dotazu návštěvník pracuje se záznamy NS a adresami serverů, ne s názvem NSSET. Podobný název identifikátoru navíc není důkazem konkrétního webhostingu.

Změna NSSET není totéž co úprava DNS záznamu

Přiřazení jiného NSSET u .cz domény mění její delegaci na jinou sadu autoritativních serverů. Úprava záznamu A, AAAA nebo MX naproti tomu mění konkrétní odpověď uvnitř zóny na již používané DNS službě. To jsou dvě odlišné operace, které se mohou projevit v různých cache.

Představme si přesun webu na nový server. Jestli se mění jen jeho IP adresa a dosavadní DNS poskytovatel zůstává, může stačit upravit A nebo AAAA. Při přesunu celé DNS služby je potřeba na nových autoritativních serverech připravit celou potřebnou zónu a teprve potom změnit delegaci. Zapomenutý MX nebo ověřovací TXT může poškodit e-mail či jiné služby, přestože web na nové adrese odpovídá.

K čemu slouží glue

Pokud jmenný server leží uvnitř právě delegované domény, může při hledání jeho adresy vzniknout kruhová závislost. Typickým příkladem je doména example.cz obsluhovaná serverem ns1.example.cz. Nadřazená zóna potřebuje pomocnou adresu serveru, aby resolver mohl pokračovat. Takové pomocné záznamy se nazývají glue; nejsou běžnou kopií všech adres webu.

Konkrétní požadavky registru na zadání glue je vhodné ověřit u registrátora a v dokumentaci FRED. Samotná změna adresy webového serveru není důvodem přepisovat adresy nameserverů.

DNSSEC, cache a kontrola po migraci

Při přesunu DNS je potřeba koordinovat také DNSSEC. KEYSET se používá pro jiný účel než NSSET: souvisí s klíči pro ověření delegace. Návaznost starých ověřovacích údajů na nové nepodepsané nebo jinak podepsané prostředí může vést k validačním chybám.

Po změně porovnej nastavení registru, delegaci a odpovědi autoritativních serverů. Resolver může po dobu platnosti své cache dál používat dřívější údaje. Jedna úspěšná odpověď od jednoho resolveru proto neprokazuje, že přechod všude skončil. Podrobnější souvislosti vysvětluje heslo DNS.

Co vypovídá historie NSSET

Změny sad nebo jejich serverů jsou užitečné při sledování technické historie domény. Uložený snímek ale dokládá stav při kontrole, nikoli nepřetržitý vývoj. Změna NSSET automaticky neznamená prodej domény a stejný NSSET neprokazuje společného držitele. Historické sledování registru a skutečné DNS odpovědi je vhodné evidovat odděleně.