Strefy hostowane i typy rekordów DNS

Amazon Route 53 to wysoce dostępna i skalowalna usługa systemu nazw domen (DNS) firmy AWS. Tłumaczy czytelne dla ludzi nazwy domen (takie jak api.example.com) na adresy IP, których komputery używają do nawiązywania połączeń. Route 53 zapewnia również rejestrację domen, kontrole stanu oraz zaawansowane zasady routingu ruchu.

Usługa Route 53 została zaprojektowana z myślą o 100% dostępności (jest objęta umową SLA gwarantującą 100% dostępności) i jest rozproszona w lokalizacjach brzegowych AWS na całym świecie, zapewniając globalnie czas odpowiedzi na zapytania poniżej 10 ms.

Publiczna strefa hostowana to kontener na rekordy DNS, które określają sposób kierowania ruchu internetowego dla domeny. Po zarejestrowaniu domeny lub przeniesieniu jej do Route 53 publiczna strefa hostowana jest tworzona automatycznie. Można również utworzyć strefę hostowaną dla domeny zarejestrowanej u innego operatora i wskazać serwery nazw tej domeny na Route 53.

Każda strefa hostowana wiąże się z niewielką miesięczną opłatą oraz opłatami za zapytania. Podczas tworzenia strefy hostowanej Route 53 przypisuje cztery rekordy serwerów nazw (NS) — należy skonfigurować je u rejestratora domeny, aby delegować rozwiązywanie nazw DNS do Route 53.

Prywatna strefa hostowana jest powiązana z co najmniej jedną VPC i można rozwiązywać zawarte w niej nazwy tylko z poziomu tych VPC. Umożliwia wewnętrzne wykrywanie usług: instancje EC2 mogą rozwiązać nazwę database.internal.example.com do prywatnego adresu IP bez ujawniania tej nazwy w publicznym internecie.

Prywatne strefy hostowane są idealne dla mikrousług komunikujących się wewnętrznie, wewnętrznych load balancerów oraz punktów końcowych baz danych, które nigdy nie powinny być publicznie dostępne. Można powiązać wiele VPC (również z różnych kont) z jedną prywatną strefą hostowaną za pomocą interfejsu API associate-vpc-with-hosted-zone.

Rekord A mapuje nazwę hosta na adres IPv4 (np. www.example.com → 54.123.45.67). Jest to najbardziej podstawowy typ rekordu DNS i używa się go do dowolnego zasobu posiadającego statyczny adres IPv4. Rekord AAAA działa analogicznie dla adresów IPv6.

W przypadku zasobów AWS z dynamicznymi adresami IP (takich jak ALB lub dystrybucja CloudFront) Route 53 udostępnia rekordy ALIAS, które działają podobnie jak rekordy A, ale wskazują nazwę DNS zasobu AWS zamiast statycznego adresu IP. Zapytania dotyczące rekordów ALIAS są bezpłatne, w przeciwieństwie do standardowych rekordów wskazujących CloudFront lub ALB, które powodowałyby naliczanie opłat za pośrednie rozwiązywanie nazw.

Rekord CNAME (Canonical Name) mapuje jedną nazwę hosta na inną nazwę hosta, a nie bezpośrednio na adres IP. Na przykład www.example.com → d123abc.cloudfront.net. Rekordów CNAME nie można tworzyć w apeksie strefy (domenie głównej, np. w samym example.com) — jest to ograniczenie wynikające ze standardu DNS.

Rekordy ALIAS to rozszerzenie Route 53, które działa podobnie jak rekordy A/AAAA, ale wskazuje zasoby AWS po nazwie. Rekordy ALIAS można tworzyć w apeksie strefy, dlatego są właściwym wyborem do kierowania example.com (bez www) do ALB, CloudFront lub punktu końcowego witryny S3.

Oprócz rekordów A i CNAME Route 53 obsługuje pełny zakres typów rekordów DNS:

• MX: Mail Exchange — określa serwery pocztowe odpowiedzialne za odbieranie wiadomości e-mail dla domeny wraz z wartościami priorytetu
• TXT: Text — przechowuje dowolny tekst; jest często używany do weryfikacji własności domeny (SES, Google Workspace, walidacja certyfikatów SSL), a także do uwierzytelniania poczty e-mail za pomocą SPF
• NS: Name Server — identyfikuje autorytatywne serwery nazw dla strefy hostowanej; jest tworzony automatycznie przez Route 53 i nie powinien być modyfikowany
• SOA: Start of Authority — metadane dotyczące strefy; tworzony automatycznie

Rekordy SRV określają hosta i port usług, umożliwiając wykrywanie usług w protokołach takich jak SIP i XMPP. Format: priorytet, waga, port, cel. Kubernetes etcd i inne service mesh używają rekordów SRV do wykrywania elementów równorzędnych.

Rekordy CAA (Certification Authority Authorization) określają, które urzędy certyfikacji (CA) mogą wystawiać certyfikaty SSL/TLS dla domeny. Dodanie rekordu CAA ograniczającego wystawianie certyfikatów do amazon.com uniemożliwia innym urzędom certyfikacji wystawianie certyfikatów dla domeny, zmniejszając ryzyko nieprawidłowego wystawienia certyfikatu.

TTL (Time to Live) to wartość w sekundach informująca resolvery DNS, jak długo mają przechowywać rekord w pamięci podręcznej przed ponownym wysłaniem zapytania do Route 53. Niska wartość TTL (np. 60 sekund) oznacza szybką propagację zmian DNS, ale powoduje większą liczbę zapytań do Route 53. Wysoka wartość TTL (np. 86400 = 1 dzień) zmniejsza koszty zapytań Route 53, ale spowalnia propagację aktualizacji rekordów.

Najlepsza praktyka: dla stabilnych rekordów (takich jak rekord A głównej domeny) należy używać wysokiej wartości TTL. Przed planowaną migracją lub zmianą kierowania ruchu należy tymczasowo obniżyć TTL do 60 sekund, aby zmiana szybko się rozpropagowała. Po migracji należy przywrócić wysoką wartość TTL.

Route 53 Resolver jest wbudowany w każdą VPC i obsługuje rozwiązywanie nazw dla rekordów w prywatnych strefach hostowanych oraz punktów końcowych usług AWS. W architekturach hybrydowych, w których systemy lokalne muszą rozwiązywać nazwy z prywatnych stref AWS (lub odwrotnie), należy używać przychodzących punktów końcowych Resolver (z systemów lokalnych do AWS) oraz wychodzących punktów końcowych Resolver (z AWS do lokalnego DNS).

Reguły przekazywania Resolver umożliwiają skonfigurowanie sufiksów domen, które są przekazywane do firmowych serwerów DNS, zapewniając płynne hybrydowe rozwiązywanie nazw DNS bez konieczności duplikowania zarządzania strefami.

Route 53 działa również jako rejestrator domen, umożliwiając rejestrowanie nowych domen i przenoszenie istniejących. Podczas rejestracji należy podać dane kontaktowe i opcjonalnie włączyć ochronę prywatności (która ukrywa dane osobowe WHOIS). Route 53 obsługuje setki domen najwyższego poziomu (TLD).

Po zarejestrowaniu domeny za pomocą Route 53 publiczna strefa hostowana jest tworzona automatycznie, a rekordy NS i SOA są wstępnie konfigurowane. Rekordy NS u rejestratora już wskazują serwery nazw Route 53, więc nie trzeba ręcznie wykonywać delegowania — można od razu rozpocząć dodawanie rekordów.

Najważniejsze najlepsze praktyki dotyczące stref hostowanych na egzamin SAA-C03:

• W apeksie strefy należy używać rekordów ALIAS zamiast CNAME dla zasobów AWS
• Należy używać prywatnych stref hostowanych dla całego wewnętrznego DNS i nigdy nie ujawniać wewnętrznych nazw hostów w strefach publicznych
• Przed migracjami należy ustawić niską wartość TTL (60–120 s), a po migracji przywrócić wysoką wartość
• Należy włączyć podpisywanie DNSSEC dla stref publicznych, aby chronić je przed atakami polegającymi na podszywaniu się pod DNS
• Należy oznaczać strefy hostowane tagami na potrzeby alokacji kosztów, jeśli zarządzają Państwo wieloma klientami lub środowiskami

Sprawdź swoją znajomość zagadnień AWS Solutions Architect (SAA-C03) omówionych w tej lekcji.

W tej lekcji poznali Państwo następujące zagadnienia: publiczne strefy hostowane kierują ruch internetowy, natomiast prywatne strefy hostowane umożliwiają rozwiązywanie nazw tylko wewnątrz VPC; rekordy ALIAS rozwiązują ograniczenie CNAME w apeksie strefy dla zasobów AWS, a TTL określa czas przechowywania danych DNS w pamięci podręcznej i szybkość propagacji. W następnej części omówimy zasady routingu Route 53, w tym routing prosty, ważony i oparty na opóźnieniach.