Hosted zone e tipi di record DNS

Amazon Route 53 è il servizio Domain Name System (DNS) di AWS, altamente disponibile e scalabile. Traduce i nomi di dominio leggibili dalle persone (come api.example.com) in indirizzi IP utilizzati dai computer per connettersi. Route 53 offre inoltre la registrazione dei domini, i controlli dello stato e sofisticate policy di routing del traffico.

Route 53 è progettato per essere disponibile al 100% (con uno SLA che garantisce un uptime del 100%) ed è distribuito nelle edge location AWS di tutto il mondo, offrendo tempi di risposta alle query inferiori a 10 ms a livello globale.

Una hosted zone pubblica è un contenitore per i record DNS che definiscono il modo in cui il traffico Internet viene instradato per un dominio. Quando registra un dominio o lo trasferisce a Route 53, viene creata automaticamente una hosted zone pubblica. È inoltre possibile creare una hosted zone per un dominio registrato altrove e indirizzare i name server del dominio a Route 53.

Ogni hosted zone ha un piccolo costo mensile, oltre ai costi per query. Quando crea una hosted zone, Route 53 assegna quattro record name server (NS): deve configurarli presso il registrar del dominio per delegare la risoluzione DNS a Route 53.

Una hosted zone privata è associata a una o più VPC ed è risolvibile solo dall'interno di tali VPC. Abilita il service discovery interno: le istanze EC2 possono risolvere database.internal.example.com in un IP privato senza esporre il nome su Internet.

Le hosted zone private sono ideali per i microservizi che comunicano internamente, i load balancer interni e gli endpoint di database che non devono mai essere accessibili pubblicamente. È possibile associare più VPC (anche tra account diversi) a una singola hosted zone privata usando l'API associate-vpc-with-hosted-zone.

Un record A associa un hostname a un indirizzo IPv4 (ad esempio, www.example.com → 54.123.45.67). È il tipo di record DNS fondamentale e viene utilizzato per qualsiasi risorsa con un indirizzo IPv4 statico. Un record AAAA svolge la stessa funzione per gli indirizzi IPv6.

Per le risorse AWS con IP dinamici (come un ALB o una distribuzione CloudFront), Route 53 fornisce i record ALIAS, che si comportano come record A ma puntano al nome DNS di una risorsa AWS anziché a un IP statico. Le query ai record ALIAS sono gratuite, a differenza dei record standard che puntano a CloudFront o ALB e comporterebbero costi per la risoluzione intermedia.

Un record CNAME (Canonical Name) associa un hostname a un altro hostname, non direttamente a un IP. Ad esempio, www.example.com → d123abc.cloudfront.net. I CNAME non possono essere creati all'apice della zona (il dominio root, ad esempio example.com stesso): si tratta di una limitazione dello standard DNS.

I record ALIAS sono un'estensione di Route 53 che si comporta come i record A/AAAA, ma punta alle risorse AWS tramite il nome. I record ALIAS possono essere creati all'apice della zona, rendendoli la scelta corretta per instradare example.com (senza www) verso un ALB, CloudFront o un endpoint di un sito web S3.

Oltre ad A e CNAME, Route 53 supporta l'intera gamma dei tipi di record DNS:

• MX: Mail Exchange; specifica i server di posta responsabili della ricezione delle email per un dominio, con valori di priorità
• TXT: Text; memorizza testo arbitrario, comunemente utilizzato per la verifica della titolarità del dominio (SES, Google Workspace, convalida dei certificati SSL) e per l'autenticazione email SPF
• NS: Name Server; identifica i name server autorevoli per la hosted zone; viene creato automaticamente da Route 53 e non deve essere modificato
• SOA: Start of Authority; contiene metadati sulla zona e viene creato automaticamente

I record SRV specificano l'host e la porta dei servizi, abilitando il service discovery in protocolli come SIP e XMPP. Formato: priorità, peso, porta, destinazione. Kubernetes etcd e altre service mesh utilizzano i record SRV per il peer discovery.

I record CAA (Certification Authority Authorization) specificano quali autorità di certificazione (CA) sono autorizzate a emettere certificati SSL/TLS per il dominio. L'aggiunta di un record CAA che limita l'emissione a amazon.com impedisce alle altre CA di emettere certificati per il dominio, riducendo il rischio di emissione errata dei certificati.

Il TTL (Time to Live) è un valore espresso in secondi che indica ai resolver DNS per quanto tempo memorizzare nella cache un record prima di interrogare nuovamente Route 53. Un TTL basso (ad esempio, 60 secondi) consente alle modifiche DNS di propagarsi rapidamente, ma comporta un numero maggiore di query ricevute da Route 53. Un TTL alto (ad esempio, 86400 = 1 giorno) riduce i costi delle query a Route 53, ma rallenta la propagazione degli aggiornamenti dei record.

Best practice: utilizzi un TTL alto per i record stabili (come il record A del dominio principale). Prima di una migrazione pianificata o di uno spostamento del traffico, riduca temporaneamente il TTL a 60 secondi, così la modifica si propagherà rapidamente. Al termine della migrazione, ripristini il TTL alto.

Route 53 Resolver è integrato in ogni VPC e gestisce la risoluzione DNS per i record nelle hosted zone private e per gli endpoint dei servizi AWS. Per le architetture ibride in cui i sistemi on-premises devono risolvere i nomi delle zone private AWS (o viceversa), utilizzi gli Resolver Inbound Endpoints (da on-premises ad AWS) e gli Resolver Outbound Endpoints (da AWS al DNS on-premises).

Le regole di forwarding di Resolver consentono di configurare quali suffissi di dominio inoltrare ai server DNS aziendali, abilitando una risoluzione DNS ibrida trasparente senza dover gestire zone duplicate.

Route 53 funge anche da registrar di domini, consentendo di registrare nuovi domini o trasferire quelli esistenti. Durante la registrazione fornisce le informazioni di contatto e può abilitare facoltativamente la protezione della privacy, che nasconde i dati personali WHOIS. Route 53 supporta centinaia di domini di primo livello (TLD).

Quando registra un dominio tramite Route 53, viene creata automaticamente una hosted zone pubblica con record NS e SOA già configurati. I record NS presso il registrar puntano già ai name server di Route 53, quindi non è necessario alcun passaggio manuale di delega: può iniziare immediatamente ad aggiungere record.

Principali best practice per le hosted zone in vista dell'esame SAA-C03:

• Utilizzi i record ALIAS all'apice della zona invece dei CNAME per le risorse AWS
• Utilizzi le hosted zone private per tutto il DNS interno e non esponga mai gli hostname interni nelle zone pubbliche
• Imposti un TTL basso (60–120 s) prima delle migrazioni e ripristini un TTL alto in seguito
• Abiliti la firma DNSSEC per le zone pubbliche, così da proteggersi dagli attacchi di spoofing DNS
• Applichi tag alle hosted zone per l'allocazione dei costi se gestisce più clienti o ambienti

Verifichi la Sua comprensione dei concetti AWS Solutions Architect (SAA-C03) trattati in questa lezione.

In questa lezione ha imparato che: le hosted zone pubbliche instradano il traffico Internet, mentre le hosted zone private risolvono i nomi solo all'interno delle VPC; i record ALIAS risolvono la limitazione dei CNAME all'apice della zona per le risorse AWS; infine, il TTL controlla la durata della cache DNS e la velocità di propagazione. Nella prossima lezione esamineremo le policy di routing di Route 53, tra cui il routing semplice, ponderato e basato sulla latenza.