Hosted zones og DNS-recordtyper

Amazon Route 53 er AWS' yderst tilgængelige og skalerbare Domain Name System-tjeneste (DNS). Den oversætter menneskeligt læsbare domænenavne (som api.example.com) til IP-adresser, som computere bruger til at oprette forbindelse. Route 53 tilbyder også domæneregistrering, sundhedstjek og avancerede politikker for trafikdirigering.

Route 53 er designet til at være 100 % tilgængelig (understøttet af en SLA med 100 % oppetid) og er distribueret på tværs af AWS' edge-lokationer verden over, hvilket giver svartider for forespørgsler på under 10 ms globalt.

En offentlig hostet zone er en beholder til DNS-poster, der definerer, hvordan internettrafik dirigeres for et domæne. Når du registrerer et domæne eller overfører et til Route 53, oprettes der automatisk en offentlig hostet zone. Du kan også oprette en hostet zone for et domæne, der er registreret et andet sted, og pege domænets navneservere på Route 53.

Hver hostet zone koster et mindre månedligt gebyr samt gebyrer pr. forespørgsel. Når du opretter en hostet zone, tildeler Route 53 fire navneserverposter (NS-poster). Du skal konfigurere disse hos din domæneregistrator for at delegere DNS-opslag til Route 53.

En privat hostet zone er knyttet til en eller flere VPC'er og kan kun slås op fra disse VPC'er. Den muliggør intern tjenesteopdagelse: Dine EC2-instanser kan slå database.internal.example.com op til en privat IP-adresse uden at eksponere navnet på det offentlige internet.

Private hostede zoner er ideelle til mikrotjenester, der kommunikerer internt, interne load balancere og databaseendpoints, som aldrig bør være offentligt tilgængelige. Du kan knytte flere VPC'er (også på tværs af konti) til en enkelt privat hostet zone ved hjælp af API'et associate-vpc-with-hosted-zone.

En A-post knytter et værtsnavn til en IPv4-adresse (f.eks. www.example.com → 54.123.45.67). Det er den mest grundlæggende DNS-posttype og bruges til alle ressourcer, der har en statisk IPv4-adresse. En AAAA-post gør det samme for IPv6-adresser.

For AWS-ressourcer med dynamiske IP-adresser (som en ALB eller CloudFront-distribution) tilbyder Route 53 ALIAS-poster, der fungerer som A-poster, men peger på en AWS-ressources DNS-navn i stedet for en statisk IP-adresse. Det er gratis at slå ALIAS-poster op, i modsætning til standardposter, der peger på CloudFront eller ALB, og som ville medføre gebyrer for den mellemliggende opslagshandling.

En CNAME-post (Canonical Name) knytter ét værtsnavn til et andet værtsnavn, ikke direkte til en IP-adresse. For eksempel www.example.com → d123abc.cloudfront.net. CNAME-poster kan ikke oprettes ved zonens apex (rotdomænet, f.eks. selve example.com) – det er en begrænsning i DNS-standarden.

ALIAS-poster er en udvidelse i Route 53, der fungerer som A-/AAAA-poster, men peger på AWS-ressourcer ved navn. ALIAS-poster kan oprettes ved zonens apex, hvilket gør dem til det rigtige valg til at dirigere example.com (uden www) til et ALB-, CloudFront- eller S3-webstedse ndpoint.

Ud over A og CNAME understøtter Route 53 hele udvalget af DNS-posttyper:

• MX: Mail Exchange – angiver de mailservere, der er ansvarlige for at modtage e-mail for et domæne, med prioritetsværdier
• TXT: Text – gemmer vilkårlig tekst og bruges ofte til bekræftelse af domæneejerskab (SES, Google Workspace og validering af SSL-certifikater) samt SPF-e-mailgodkendelse
• NS: Name Server – identificerer de autoritative navneservere for den hostede zone; oprettes automatisk af Route 53 og bør ikke ændres
• SOA: Start of Authority – metadata om zonen; oprettes automatisk

SRV-poster angiver værten og porten for tjenester og muliggør tjenesteopdagelse i protokoller som SIP og XMPP. Format: prioritet, vægt, port, mål. Kubernetes etcd og andre servicemeshes bruger SRV-poster til opdagelse af peers.

CAA-poster (Certification Authority Authorization) angiver, hvilke certifikatmyndigheder (CA'er) der har tilladelse til at udstede SSL-/TLS-certifikater for dit domæne. Hvis du tilføjer en CAA-post, der begrænser udstedelsen til amazon.com, forhindrer du andre CA'er i at udstede certifikater for dit domæne og reducerer dermed risikoen for forkert udstedelse af certifikater.

TTL (Time to Live) er en værdi i sekunder, der fortæller DNS-resolvere, hvor længe en post skal caches, før der igen sendes en forespørgsel til Route 53. En lav TTL (f.eks. 60 sekunder) betyder, at DNS-ændringer spredes hurtigt, men at Route 53 modtager flere forespørgsler. En høj TTL (f.eks. 86400 = 1 dag) reducerer omkostningerne til forespørgsler i Route 53, men gør spredningen af opdateringer af poster langsommere.

Bedste praksis: Brug en høj TTL til stabile poster (som en A-post for det primære domæne). Før en planlagt migrering eller trafikflytning skal du midlertidigt sænke TTL til 60 sekunder, så ændringen spredes hurtigt. Når migreringen er fuldført, skal du gendanne den høje TTL.

Route 53 Resolver er indbygget i alle VPC'er og håndterer DNS-opslag for poster i private hostede zoner og AWS-tjenesters endpoints. Til hybride arkitekturer, hvor lokale systemer skal kunne slå navne i AWS' private zoner op (eller omvendt), skal du bruge Resolver-indgående endpoints (fra lokalt miljø til AWS) og Resolver-udgående endpoints (fra AWS til lokal DNS).

Med Resolver-videresendelsesregler kan du konfigurere, hvilke domænesuffikser der videresendes til virksomhedens DNS-servere. Det muliggør problemfri hybrid-DNS-opslag uden duplikatadministration af zoner.

Route 53 fungerer også som domæneregistrator, så du kan registrere nye domæner eller overføre eksisterende domæner. Under registreringen angiver du kontaktoplysninger og kan vælge at aktivere beskyttelse af personlige oplysninger (som skjuler personlige WHOIS-data). Route 53 understøtter hundredvis af topdomæner (TLD'er).

Når du registrerer et domæne gennem Route 53, oprettes der automatisk en offentlig hostet zone med forudkonfigurerede NS- og SOA-poster. NS-posterne hos registratoren peger allerede på Route 53's navneservere, så der er ikke brug for et manuelt delegeringstrin – du kan straks begynde at tilføje poster.

Vigtige anbefalinger for hostede zoner til SAA-C03-eksamen:

• Brug ALIAS-poster ved zonens apex i stedet for CNAME til AWS-ressourcer
• Brug private hostede zoner til al intern DNS, og eksponér aldrig interne værtsnavne i offentlige zoner
• Indstil en lav TTL (60–120 sek.) før migreringer, og gendan en høj TTL bagefter
• Aktivér DNSSEC-signering for offentlige zoner for at beskytte mod DNS-spoofingangreb
• Tilføj tags til hostede zoner med henblik på omkostningsfordeling, hvis du administrerer flere klienter eller miljøer

I denne lektion har du lært, at offentlige hostede zoner dirigerer internettrafik, mens private hostede zoner kun løser navne inden for VPC'er, at ALIAS-poster løser CNAME-begrænsningen ved zonens apex for AWS-ressourcer, og at TTL styrer DNS-cachens varighed og spredningshastigheden. Dernæst ser vi på Route 53's dirigeringspolitikker, herunder simpel, vægtet og latensbaseret dirigering.