DNS forklaret: sådan peger jeres domæne det rigtige sted hen

Hvad er DNS — og hvad er nameservere?

DNS står for Domain Name System og fungerer som internettets adressebog. Mennesker husker domæner som webits.dk, men servere finder hinanden via IP-adresser som 192.0.2.10. DNS oversætter det ene til det andet. Hver gang nogen åbner jeres hjemmeside eller sender en mail til jeres domæne, slår deres system i baggrunden op i DNS for at finde ud af, hvilken server der skal kontaktes.

Selve opslaget sker gennem flere led. Når et domæne registreres, udpeges et sæt nameservere, der er den autoritative kilde til domænets records. En besøgendes computer spørger en resolver, resolveren finder de rigtige nameservere, og nameserverne svarer med de aktuelle records. Svaret gemmes midlertidigt undervejs, så det næste opslag går hurtigere. Hele kæden tager typisk millisekunder.

Det vigtige at forstå er, at nameserverne bestemmer alt. Skifter I nameservere, flytter I ansvaret for hele domænets DNS til et nyt sted, og de records, det nye sted ikke kender til, forsvinder. Derfor er nameserverne et af de mest kritiske — og mest oversete — punkter i en flytning af hjemmeside eller mail.

De vigtigste record-typer

DNS består af records — små regler, der hver især fortæller, hvor en bestemt del af domænet peger hen. De fleste virksomheder skal kun forholde sig til en håndfuld typer, men de er til gengæld afgørende. En A-record peger domænet mod en IPv4-adresse, altså den server, der leverer jeres hjemmeside. En AAAA-record gør det samme for det nyere IPv6. En CNAME er et alias, der peger ét navn mod et andet, fx www mod hoveddomænet, så I kun skal vedligeholde adressen ét sted.

E-mail styres af MX-records, der fortæller andre mailservere, hvor de skal aflevere post til jeres domæne. Peger MX det forkerte sted hen, forsvinder indgående mail lydløst, selv om hjemmesiden fungerer perfekt. TXT-records rummer fri tekst og bruges i dag primært til at bevise, hvem der må sende mail på jeres vegne. SPF angiver de tilladte afsendere, DKIM signerer jeres mail digitalt, og DMARC fortæller modtageren, hvad der skal ske, hvis SPF eller DKIM ikke passer. NS-records angiver domænets nameservere.

Tilsammen udgør disse records fundamentet under både web og mail. De fleste driftsproblemer med domæner kan spores tilbage til en enkelt af dem, der peger forkert, mangler eller er skrevet med en tastefejl.

• A og AAAA — peger domænet mod hjemmesidens server (IPv4 og IPv6).
• CNAME — et alias, der peger ét navn mod et andet, fx www mod hoveddomænet.
• MX — bestemmer, hvilken server der modtager e-mail for domænet.
• TXT med SPF, DKIM og DMARC — dokumenterer og beskytter jeres tilladte mailafsendere.
• NS — angiver de nameservere, der er autoritative for hele domænet.

TTL og propagering: hvorfor ændringer tager tid

Hver record har en TTL — Time To Live — som fortæller resolvere, hvor længe de må gemme svaret, før de spørger igen. En TTL på en time betyder, at en ændring kan tage op til en time om at nå ud til alle, fordi nogle resolvere stadig serverer den gamle værdi, indtil deres kopi udløber. Det er dette forsinkede gennemslag, folk kalder propagering.

I praksis betyder det, at DNS-ændringer skal planlægges. Skal I flytte en hjemmeside eller skifte mailudbyder, kan I sænke TTL på de berørte records et døgn i forvejen, så det gamle svar udløber hurtigt, når skiftet sker. Efter flytningen kan TTL sættes op igen for stabil, hurtig opslag. En for høj TTL under en flytning betyder lang ventetid; en meget lav TTL i daglig drift giver flere opslag uden nævneværdig gevinst.

Propagering er også grunden til, at en ændring kan se korrekt ud ét sted og forkert et andet i en periode. Det er sjældent en fejl, men et forventet mellemstadie. Tålmodighed og en bevidst TTL-strategi er derfor bedre end at ændre de samme records gentagne gange, fordi resultatet ikke slår igennem med det samme.

DNSSEC og sikkerhed

Almindelig DNS blev designet til at være hurtig og robust, ikke til at bevise, at et svar er ægte. Det åbner for angreb, hvor en forfalsket resolver eller et manipuleret svar sender jeres besøgende til en falsk server, uden at de opdager det. DNSSEC lukker det hul ved at signere DNS-svarene kryptografisk, så en resolver kan kontrollere, at svaret rent faktisk kommer fra domænets autoritative kilde og ikke er ændret undervejs.

DNSSEC beskytter ikke indholdet på jeres hjemmeside eller krypterer jeres trafik — det gør SSL. Det sikrer et andet led: at selve opslaget, der fortæller, hvor jeres domæne bor, ikke kan forfalskes. For et domæne, der håndterer login, betalinger eller kundedata, er det en meningsfuld ekstra beskyttelse, og det er samtidig et krav eller en forventning i flere brancher og udbud.

Sikkerhed i DNS handler dog ikke kun om DNSSEC. Adgangen til at redigere records bør være beskyttet, ændringer bør kunne spores, og de records, der beskytter jeres e-mail — SPF, DKIM og DMARC — bør være korrekt sat op og holdt ved lige. En glemt eller for løs SPF-record er en af de hyppigste årsager til, at nogen kan misbruge jeres domæne som afsender.

Hvorfor korrekt DNS betyder noget — og værdien af administreret DNS

DNS er et af de få steder, hvor en lille fejl har store, øjeblikkelige konsekvenser. En forkert A-record tager hjemmesiden offline. En forkert MX-record stopper indgående mail. En manglende eller fejlbehæftet SPF- eller DKIM-record får jeres udgående mail til at ryge i modtagernes spamfilter, selv om alt andet fungerer. Netop fordi DNS er usynligt i det daglige, opdages fejlene ofte først, når kunder ikke kan finde jer eller ikke modtager svar.

Korrekt DNS er derfor lige så meget et spørgsmål om e-mailleverance som om oppetid på hjemmesiden. Moderne mailservere afviser eller nedprioriterer i stigende grad afsendere uden ordentlig SPF, DKIM og DMARC. Et domæne, hvor de records er sat rigtigt op, når frem til indbakken; et domæne uden risikerer at blive stemplet som upålideligt — uafhængigt af, hvor godt selve mailen er skrevet.

Her ligger værdien af administreret DNS. Frem for at records spredes over flere leverandører og redigeres af skiftende personer uden overblik, samles ansvaret ét sted hos nogen, der overvåger, dokumenterer og holder styr på nameservere, TTL, DNSSEC og mail-records. Ved en flytning betyder det, at ændringer planlægges og udføres uden nedetid, og at hjemmeside og mail fortsætter med at virke, mens ændringen slår igennem. En driftspartner, der ejer DNS, er billigere end den dag, hvor et forkert opslag lukker både web og mail på én gang.