Размещённые зоны и типы записей DNS

Amazon Route 53 — это высокодоступная и масштабируемая служба AWS для работы с системой доменных имён (DNS). Она преобразует понятные человеку доменные имена (например, api.example.com) в IP-адреса, которые компьютеры используют для подключения. Route 53 также предоставляет регистрацию доменов, проверки работоспособности и сложные политики маршрутизации трафика.

Route 53 разработан с расчётом на доступность 100% (что подтверждается SLA с гарантией безотказной работы 100%) и распределён между пограничными площадками AWS по всему миру, благодаря чему глобальное время ответа на запрос составляет менее 10 мс.

Публичная размещённая зона — это контейнер для записей DNS, определяющих маршрутизацию интернет-трафика для домена. При регистрации домена или его переносе в Route 53 публичная размещённая зона создаётся автоматически. Вы также можете создать размещённую зону для домена, зарегистрированного в другом месте, и указать серверы имён домена так, чтобы они направляли запросы в Route 53.

За каждую размещённую зону взимается небольшая ежемесячная плата, а также плата за запросы. При создании размещённой зоны Route 53 назначает четыре записи серверов имён (NS) — их необходимо настроить у регистратора домена, чтобы делегировать разрешение DNS-запросов службе Route 53.

Частная размещённая зона связывается с одной или несколькими VPC и доступна для разрешения имён только из этих VPC. Она обеспечивает обнаружение внутренних сервисов: экземпляры EC2 могут преобразовать database.internal.example.com в частный IP-адрес, не раскрывая это имя в общедоступном интернете.

Частные размещённые зоны идеально подходят для микросервисов, взаимодействующих внутри сети, внутренних балансировщиков нагрузки и конечных точек баз данных, которые ни в коем случае не должны быть общедоступными. Вы можете связать несколько VPC (в том числе принадлежащих разным учетным записям) с одной частной размещённой зоной с помощью API associate-vpc-with-hosted-zone.

Запись A сопоставляет имя хоста с адресом IPv4 (например, www.example.com → 54.123.45.67). Это самый фундаментальный тип записи DNS, используемый для любого ресурса со статическим адресом IPv4. Запись AAAA выполняет ту же задачу для адресов IPv6.

Для ресурсов AWS с динамическими IP-адресами (например, ALB или дистрибутива CloudFront) Route 53 предоставляет записи ALIAS. Они работают подобно записям A, но указывают не на статический IP-адрес, а на DNS-имя ресурса AWS. Запросы к записям ALIAS бесплатны, в отличие от стандартных записей, указывающих на CloudFront или ALB: за промежуточное разрешение таких записей взимается плата.

Запись CNAME (каноническое имя) сопоставляет одно имя хоста с другим именем хоста, а не напрямую с IP-адресом. Например, www.example.com → d123abc.cloudfront.net. Записи CNAME нельзя создавать на вершине зоны (в корневом домене, например непосредственно в example.com) — это ограничение стандарта DNS.

Записи ALIAS — это расширение Route 53. Они работают подобно записям A/AAAA, но указывают по имени на ресурсы AWS. Записи ALIAS можно создавать на вершине зоны, поэтому именно их следует выбирать для маршрутизации example.com (без www) на ALB, CloudFront или конечную точку веб-сайта S3.

Помимо A и CNAME, Route 53 поддерживает полный набор типов записей DNS:

• MX: обмен почтой — указывает почтовые серверы, отвечающие за получение электронной почты для домена, а также значения приоритета
• TXT: текст — хранит произвольный текст; обычно используется для подтверждения владения доменом (SES, Google Workspace, проверки SSL-сертификата) и аутентификации электронной почты с помощью SPF
• NS: сервер имён — определяет авторитетные серверы имён размещённой зоны; создаётся Route 53 автоматически и не должен изменяться
• SOA: начало полномочий — метаданные о зоне; создаётся автоматически

Записи SRV указывают хост и порт сервисов, обеспечивая обнаружение сервисов в протоколах, таких как SIP и XMPP. Формат: приоритет, вес, порт, целевой адрес. Kubernetes etcd и другие сервисные сети используют записи SRV для обнаружения узлов.

Записи CAA (авторизация центра сертификации) указывают, каким центрам сертификации (CA) разрешено выпускать сертификаты SSL/TLS для Вашего домена. Добавление записи CAA, ограничивающей выпуск сертификатов доменом amazon.com, не позволяет другим центрам сертификации выпускать сертификаты для Вашего домена и снижает риск ошибочной выдачи сертификатов.

TTL (время жизни) — это значение в секундах, указывающее преобразователям DNS, как долго хранить запись в кэше до повторного запроса к Route 53. Низкое значение TTL (например, 60 секунд) означает, что изменения DNS распространяются быстро, но Route 53 получает больше запросов. Высокое значение TTL (например, 86400 = 1 день) снижает расходы на запросы Route 53, но замедляет распространение обновлений записей.

Рекомендуемый подход: используйте высокое значение TTL для стабильных записей (например, основной записи A домена). Перед запланированной миграцией или переключением трафика временно уменьшите TTL до 60 секунд, чтобы изменение быстро распространилось. После миграции восстановите высокое значение TTL.

Resolver Route 53 встроен в каждую VPC и обрабатывает разрешение записей в частных размещённых зонах и конечных точках сервисов AWS. В гибридных архитектурах, где локальным системам необходимо разрешать имена частных зон AWS (или наоборот), используйте входящие конечные точки Resolver (из локальной сети в AWS) и исходящие конечные точки Resolver (из AWS к локальному DNS).

Правила пересылки Resolver позволяют настроить суффиксы доменов, которые пересылаются на корпоративные DNS-серверы, обеспечивая бесшовное разрешение имён в гибридной DNS-инфраструктуре без дублирования управления зонами.

Route 53 также работает как регистратор доменов, позволяя регистрировать новые домены и переносить существующие. При регистрации Вы указываете контактные данные и при желании включаете защиту конфиденциальности (она скрывает личные данные WHOIS). Route 53 поддерживает сотни доменов верхнего уровня (TLD).

При регистрации домена через Route 53 публичная размещённая зона автоматически создаётся с предварительно настроенными записями NS и SOA. Записи NS у регистратора уже указывают на серверы имён Route 53, поэтому вручную делегировать домен не требуется — Вы сразу можете начать добавлять записи.

Основные рекомендации по работе с размещёнными зонами для экзамена SAA-C03:

• Используйте записи ALIAS на вершине зоны вместо CNAME для ресурсов AWS
• Используйте частные размещённые зоны для всех внутренних DNS-имён и никогда не раскрывайте внутренние имена хостов в публичных зонах
• Устанавливайте низкое значение TTL (60–120 с) перед миграциями, а после восстанавливайте высокое значение TTL
• Включайте подписание DNSSEC для публичных зон, чтобы защититься от атак с подменой DNS
• Добавляйте теги к размещённым зонам для распределения затрат при работе с несколькими клиентами или средами

Проверьте, насколько хорошо Вы усвоили концепции AWS Solutions Architect (SAA-C03) из этого урока.

В этом уроке Вы узнали, что публичные размещённые зоны маршрутизируют интернет-трафик, а частные размещённые зоны разрешают имена только внутри VPC; записи ALIAS устраняют ограничение CNAME на вершине зоны для ресурсов AWS, а TTL управляет продолжительностью кэширования DNS и скоростью распространения изменений. Далее мы рассмотрим политики маршрутизации Route 53, включая простую маршрутизацию, маршрутизацию на основе весов и задержки.