Un NS record indique quels serveurs sont autoritaires pour une zone DNS. Il liste les noms des serveurs qui détiennent la zone. Les résolveurs interrogent ces serveurs pour obtenir les autres enregistrements.
Un NS record contient un nom un type une cible NS et un TTL. Le TTL indique combien de temps la réponse reste en cache dans le résolveur local.
| Nom | Type | Serveur NS | TTL en secondes |
|---|
| @ | NS | ns1.exemple.net. | 3600 |
Dans cet exemple le nom @ vise l apex de la zone. La cible est un nom d hôte. Ce nom doit publier des enregistrements A ou AAAA et être joignable.
Une zone doit publier plusieurs NS records. Cela apporte de la redondance et une meilleure disponibilité.
| Nom | Type | Serveur NS | TTL en secondes |
|---|
| @ | NS | ns1.exemple.net. | 3600 |
| @ | NS | ns2.exemple.net. | 3600 |
Prévoir deux serveurs ou plus. Ils doivent répondre de manière cohérente.
Pour déléguer sous.exemple.com ajouter des NS sur ce nom dans la zone parente. Chaque cible doit résoudre en A ou AAAA. Si le nom du serveur est à l'intérieur du sous domaine la zone parente peut publier des adresses d'assistance que l'on appelle glue. L'objectif reste simple. Permettre aux résolveurs d'atteindre rapidement les serveurs du sous domaine.
Un TTL court rend un changement de serveurs plus visible. Utile en phase de bascule.
Un TTL moyen ou long réduit les requêtes vers les serveurs autoritaires. Adapté à une zone stable.
Réduire le TTL quelques heures avant un changement puis le remonter après validation.
Bon à savoir
NS et SOA se publient à l'apex d'une zone. Un CNAME ne doit pas apparaître sur un nom qui porte des NS. Une cible NS est toujours un nom pas une adresse.
À l'apex de la zone pour désigner les serveurs autoritaires de cette zone.
Sur un sous domaine quand on délègue ce sous domaine vers des serveurs dédiés.
Les zones filles possèdent leur propre SOA et leurs propres NS.
À éviter
Pointer un enregistrement NS vers une adresse directe.
Publier un seul NS sur une zone.
Laisser une cible NS sans A ni AAAA.
Avoir des ensembles de NS différents entre la zone parente et la zone fille sans raison.
Un DNS lookup en ligne permet d'entrer un nom de domaine. Le résultat affiche la liste des serveurs NS et le TTL visible depuis Internet. C'est un premier contrôle utile. Faire ensuite un test local depuis sa machine.
Windows fournit nslookup. On peut l'utiliser en mode interactif.
nslookup
set q=ns
exemple.com
nslookup
set q=ns
server 1.1.1.1
exemple.com
La première partie interroge selon la configuration réseau de la machine. La seconde force l'usage d'un résolveur tiers ici celui de Cloudflare.
Sur ces systèmes la commande dig est pratique et facile à utiliser.
dig NS exemple.com
dig NS exemple.com @1.1.1.1
Plusieurs lignes NS indiquent plusieurs serveurs. Chercher des noms variés et des réseaux différents pour une meilleure résilience.
Un TTL restant élevé peut expliquer un décalage après un changement.
Un écart entre les NS vus depuis la zone parente et ceux vus dans la zone elle-même révèle un manque de synchronisation.
- Préparer les nouveaux serveurs et leurs enregistrements A ou AAAA.
- Réduire le TTL des NS à 300 voire 60 secondes quelques heures avant la bascule.
- Mettre à jour la zone avec la nouvelle liste NS.
- Mettre à jour la délégation côté registre si nécessaire.
- Vérifier depuis plusieurs réseaux puis remonter le TTL quand tout est stable.
Astuce pratique
Conserver une fiche avec la liste des NS publiés côté zone et côté registre. Noter la date le TTL et la raison du changement. Cette trace évite les écarts lors des mises à jour.
Publier les nouveaux NS dans la zone. Mettre à jour la délégation chez le bureau d'enregistrement. Vérifier la cohérence.
Ajouter des NS sur le sous domaine dans la zone parente. L'équipe gère ensuite sa zone fille avec son propre SOA.
Ajouter un NS de plus. Vérifier qu il résout en A ou AAAA et qu il sert la zone à jour.
- Si la zone répond parfois avec d anciens enregistrements vérifier la cohérence des NS publiés.
- Si un serveur NS ne répond pas retirer temporairement son entrée le temps de la réparation.
- Si la délégation ne fonctionne pas vérifier la présence d adresses glue quand elles sont nécessaires.
- Si la réponse reste ancienne malgré la mise à jour attendre l expiration du TTL et purger le cache du résolveur local si possible.
En résumé, un enregistrement NS désigne les serveurs autoritaires d'une zone. Il doit pointer vers des noms joignables et cohérents. Une zone publie plusieurs NS pour la disponibilité. Le TTL bien réglé facilite les transitions. La vérification passe par un outil en ligne puis par nslookup et par dig.
Avec ces repères la gestion reste claire. Les changements se déroulent sans stress. Les résolveurs trouvent la zone sans incident.