Zonas hospedadas e tipos de registros DNS

O Amazon Route 53 é o serviço altamente disponível e escalável de Sistema de Nomes de Domínio (DNS) da AWS. Ele traduz nomes de domínio legíveis por humanos (como api.example.com) em endereços IP usados pelos computadores para se conectarem. O Route 53 também oferece registro de domínios, verificações de integridade e sofisticadas políticas de roteamento de tráfego.

O Route 53 foi projetado para ter disponibilidade de 100% (respaldada por um SLA de 100% de tempo de atividade) e é distribuído entre locais de borda da AWS em todo o mundo, proporcionando tempos de resposta de consultas inferiores a 10 ms globalmente.

Uma zona hospedada pública é um contêiner para registros DNS que definem como o tráfego da internet é roteado para um domínio. Quando você registra um domínio ou transfere um domínio para o Route 53, uma zona hospedada pública é criada automaticamente. Você também pode criar uma zona hospedada para um domínio registrado em outro lugar e apontar os servidores de nomes do domínio para o Route 53.

Cada zona hospedada custa uma pequena tarifa mensal, além das cobranças por consulta. Quando você cria uma zona hospedada, o Route 53 atribui quatro registros de servidor de nomes (NS) — você deve configurá-los no registrador do seu domínio para delegar a resolução de DNS ao Route 53.

Uma zona hospedada privada é associada a uma ou mais VPCs e só pode ser resolvida de dentro dessas VPCs. Ela permite a descoberta de serviços internos: suas instâncias do EC2 podem resolver database.internal.example.com para um IP privado sem expor o nome à internet pública.

As zonas hospedadas privadas são ideais para microsserviços que se comunicam internamente, balanceadores de carga internos e endpoints de bancos de dados que nunca devem ser acessíveis publicamente. Você pode associar várias VPCs (inclusive entre contas) a uma única zona hospedada privada usando a API associate-vpc-with-hosted-zone.

Um registro A mapeia um nome de host para um endereço IPv4 (por exemplo, www.example.com → 54.123.45.67). É o tipo de registro DNS mais básico e é usado para qualquer recurso que tenha um endereço IPv4 estático. Um registro AAAA faz o mesmo para endereços IPv6.

Para recursos da AWS com IPs dinâmicos (como um ALB ou uma distribuição do CloudFront), o Route 53 fornece registros ALIAS, que funcionam como registros A, mas apontam para o nome DNS de um recurso da AWS, em vez de apontarem para um IP estático. As consultas a registros ALIAS são gratuitas, ao contrário dos registros padrão que apontam para o CloudFront ou o ALB, que gerariam cobranças pela resolução intermediária.

Um registro CNAME (Nome Canônico) mapeia um nome de host para outro nome de host, e não diretamente para um IP. Por exemplo, www.example.com → d123abc.cloudfront.net. Os CNAMEs não podem ser criados no ápice da zona (o domínio raiz, por exemplo, o próprio example.com) — essa é uma restrição do padrão DNS.

Os registros ALIAS são uma extensão do Route 53 que funciona como registros A/AAAA, mas aponta para recursos da AWS por nome. Os registros ALIAS podem ser criados no ápice da zona, o que os torna a escolha correta para rotear example.com (sem www) para um ALB, CloudFront ou endpoint de site do S3.

Além de A e CNAME, o Route 53 é compatível com toda a variedade de tipos de registros DNS:

• MX: Mail Exchange — especifica os servidores de e-mail responsáveis por receber mensagens de um domínio, com valores de prioridade
• TXT: Text — armazena texto arbitrário, geralmente usado para verificação da propriedade do domínio (SES, Google Workspace, validação de certificados SSL) e autenticação de e-mail SPF
• NS: Name Server — identifica os servidores de nomes autoritativos da zona hospedada; criado automaticamente pelo Route 53 e não deve ser modificado
• SOA: Start of Authority — metadados sobre a zona; criado automaticamente

Os registros SRV especificam o host e a porta dos serviços, permitindo a descoberta de serviços em protocolos como SIP e XMPP. Formato: prioridade, peso, porta, destino. O etcd do Kubernetes e outras malhas de serviços usam registros SRV para a descoberta de pares.

Os registros CAA (Certification Authority Authorization) especificam quais autoridades certificadoras (CAs) têm permissão para emitir certificados SSL/TLS para seu domínio. Adicionar um registro CAA que restrinja a emissão a amazon.com impede que outras CAs emitam certificados para seu domínio, reduzindo o risco de emissão indevida de certificados.

TTL (Time to Live) é um valor em segundos que informa aos resolvedores DNS por quanto tempo armazenar um registro em cache antes de consultar novamente o Route 53. Um TTL baixo (por exemplo, 60 segundos) significa que as alterações de DNS se propagam rapidamente, mas o Route 53 recebe mais consultas. Um TTL alto (por exemplo, 86400 = 1 dia) reduz os custos de consultas do Route 53, mas torna mais lenta a propagação das atualizações dos registros.

Prática recomendada: use um TTL alto para registros estáveis (como um registro A do domínio principal). Antes de uma migração ou mudança de tráfego planejada, reduza temporariamente o TTL para 60 segundos para que a alteração se propague rapidamente. Após a migração, restaure o TTL alto.

O Route 53 Resolver é integrado a cada VPC e gerencia a resolução de DNS para registros em zonas hospedadas privadas e endpoints de serviços da AWS. Em arquiteturas híbridas nas quais sistemas locais precisam resolver nomes de zonas privadas da AWS (ou vice-versa), use Resolver Inbound Endpoints (do ambiente local para a AWS) e Resolver Outbound Endpoints (da AWS para o DNS local).

As regras de encaminhamento do Resolver permitem configurar quais sufixos de domínio são encaminhados para seus servidores DNS corporativos, possibilitando uma resolução de DNS híbrida contínua sem gerenciamento duplicado de zonas.

O Route 53 também funciona como registrador de domínios, permitindo registrar novos domínios ou transferir domínios existentes. Durante o registro, você fornece informações de contato e pode opcionalmente habilitar a proteção de privacidade (que oculta os dados pessoais do WHOIS). O Route 53 é compatível com centenas de domínios de nível superior (TLDs).

Quando você registra um domínio pelo Route 53, uma zona hospedada pública é criada automaticamente com registros NS e SOA pré-configurados. Os registros NS no registrador já apontam para os servidores de nomes do Route 53, portanto não é necessário realizar uma etapa manual de delegação — você pode começar a adicionar registros imediatamente.

Principais práticas recomendadas para zonas hospedadas no exame SAA-C03:

• Use registros ALIAS no ápice da zona em vez de CNAME para recursos da AWS
• Use zonas hospedadas privadas para todo o DNS interno; nunca exponha nomes de host internos em zonas públicas
• Defina um TTL baixo (60–120 s) antes das migrações; depois, restaure um TTL alto
• Habilite a assinatura DNSSEC para zonas públicas a fim de protegê-las contra ataques de falsificação de DNS
• Adicione etiquetas às zonas hospedadas para alocação de custos se você gerenciar vários clientes ou ambientes

Teste sua compreensão dos conceitos de AWS Solutions Architect (SAA-C03) apresentados nesta lição.

Nesta lição, você aprendeu que: as zonas hospedadas públicas roteiam o tráfego da internet, enquanto as zonas hospedadas privadas resolvem nomes somente dentro das VPCs; os registros ALIAS resolvem a limitação de CNAME no ápice da zona para recursos da AWS; e o TTL controla a duração do cache DNS e a velocidade de propagação. Em seguida, exploraremos as políticas de roteamento do Route 53, incluindo roteamento simples, ponderado e baseado em latência.