Что такое первичный DNS

DNS, или система доменных имён, помогает преобразовать понятные человеку адреса в технические данные, которые используют устройства и сервисы. Например, при открытии сайта браузер запрашивает сведения о домене и получает запись типа A или AAAA с IP-адресом сервера. DNS также применяется для настройки почты, проверки прав на домен, подключения сервисов доставки контента и других задач.

Набор записей для конкретного домена называется DNS-зоной. В ней могут находиться записи A, AAAA, CNAME, MX, TXT, SRV, NS и другие. Каждая запись имеет собственное назначение и время жизни, обозначаемое TTL. Зона также содержит служебную запись SOA. В ней указываются параметры зоны, включая основной сервер, контакт администратора, серийный номер и интервалы обновления для вторичных серверов.

Первичный DNS-сервер хранит редактируемую, исходную копию такой зоны. При классической схеме управления изменения вносят именно на него, а остальные авторитетные серверы получают копию. Поэтому его также могут называть master-сервером, хотя в современных документах чаще используется нейтральное обозначение primary.

Администратор добавляет или меняет запись в панели управления хостингом, DNS-провайдера либо непосредственно в конфигурации DNS-сервера. Это изменение попадает в первичную версию зоны. Одновременно обычно увеличивается серийный номер в записи SOA. Он нужен вторичным серверам, чтобы определить, появилась ли новая версия данных.

Вторичные серверы периодически сверяют серийный номер своей копии с первичным. Если номер стал больше, они запрашивают обновление зоны. Передача может выполняться целиком, когда передаётся вся зона, или частично, когда отправляются только изменённые записи. Такой механизм называют передачей зоны.

После синхронизации и окончания действия старого TTL обновлённые данные постепенно начинают использоваться рекурсивными DNS-резолверами и устройствами пользователей. Скорость распространения зависит не только от первичного сервера, но и от TTL, настроек кэша у провайдеров и программ на клиентских устройствах. Поэтому изменение DNS-записи не всегда становится заметным мгновенно.

Первичный сервер может отвечать на обычные DNS-запросы наряду со вторичными. Однако его ключевая функция состоит в том, что он является источником обновлений. Если он временно недоступен, уже синхронизированные вторичные серверы продолжают отвечать по имеющимся данным в пределах срока, заданного параметрами зоны.

Главное различие связано с источником данных и правом на изменение зоны. На первичном DNS находится главная копия, в которую вносятся изменения. Вторичный DNS получает копию автоматически и обычно не редактируется вручную. Если изменить запись только на вторичном сервере, при следующей синхронизации такое изменение может быть перезаписано либо вообще не будет принято системой.

Вторичные серверы нужны для отказоустойчивости и распределения нагрузки. Если один сервер недоступен из-за технической проблемы, сетевого сбоя или обслуживания, запросы могут обслужить другие авторитетные серверы. Для домена рекомендуется использовать несколько NS-серверов, расположенных в разных сетях или дата-центрах. Это уменьшает риск того, что домен станет недоступным из-за единственной точки отказа.

Не следует путать первичный авторитетный DNS с первичным DNS-адресом в настройках компьютера или роутера. В настройках сети «предпочитаемый» или «первичный DNS» обычно означает резолвер, к которому устройство обращается в первую очередь для выполнения запросов. Такой сервер может не хранить зону вашего домена и не быть авторитетным: он лишь ищет и кэширует ответы.

На первичном сервере управляют всеми записями зоны, необходимыми для работы домена. Запись A связывает имя с IPv4-адресом, а AAAA — с IPv6-адресом. CNAME создаёт псевдоним для другого имени. MX определяет, куда доставлять электронную почту. TXT часто используют для подтверждения домена, политик почтовой безопасности и интеграций со сторонними сервисами.

Записи NS сообщают, какие серверы являются авторитетными для зоны. Их состав должен соответствовать делегированию у регистратора домена. Если у регистратора указаны одни NS-серверы, а внутри зоны опубликованы другие, возможны ошибки разрешения имён. Запись SOA фиксирует параметры управления зоной и особенно важна при использовании вторичных серверов.

Перед изменением записей полезно проверить, не зависят ли от них сайт, почта, VPN, поддомены, CRM или сервисы аналитики. Например, замена MX без корректных сопутствующих TXT-записей может нарушить доставку писем, а смена A-записи при большом TTL будет распространяться постепенно. Для плановых переносов обычно заранее снижают TTL, выполняют переключение, проверяют работу сервисов и затем возвращают стандартное значение.

Доступ к управлению первичной зоной должен быть ограничен. Компрометация учётной записи DNS-провайдера позволяет злоумышленнику изменить адрес сайта, перенаправить почту или добавить записи для подтверждения чужих сервисов. Для защиты применяют многофакторную аутентификацию, отдельные учётные записи для сотрудников, минимально необходимые права и журналирование изменений.

Передачу зоны между первичным и вторичным сервером следует разрешать только доверенным адресам. Иначе содержимое зоны может стать доступно посторонним, а инфраструктура — уязвимее для анализа. Для связи серверов используют ограничения доступа и механизмы аутентификации. Также важно контролировать корректность серийного номера SOA: без его обновления вторичные серверы могут не узнать об изменениях.

Надёжная схема включает минимум два авторитетных сервера, резервирование инфраструктуры, мониторинг ответов DNS и регулярную проверку критичных записей. При использовании управляемого DNS-провайдера роль первичного сервера иногда скрыта от клиента: панель сама распространяет изменения по распределённой сети. Принцип остаётся тем же — существует источник, где создаётся актуальная версия зоны, а затем она доставляется на обслуживающие узлы.