ما هو DNS الموثوق؟ دليل شامل

عندما يزور شخص ما موقعك الإلكتروني أو يرسل رسالة إلى فريقك، يحتاج المحلّل الخاص به إلى إجابة عن سؤال بسيط: أين يوجد هذا النطاق؟ الخادم الذي يحتفظ بالإجابة الرسمية هو DNS الموثوق الخاص بك. وإذا كان خاطئًا أو بطيئًا أو غير متاح، فإن موقعك وبريدك وتطبيقاتك تختفي فعليًا، مهما كانت الأنظمة التي تقف خلفها سليمة.

يشرح هذا الدليل ما هو DNS الموثوق، وبماذا يختلف عن DNS التكراري، وما السجلات التي ينشرها، وما الذي يلزم لتشغيله بموثوقية وأمان.

DNS التكراري مقابل DNS الموثوق

يضم DNS نوعين من الخوادم يؤدّيان مهمتين مختلفتين تمامًا. يعمل المحلّل التكراري نيابةً عن المستخدمين: يستقبل أسئلتهم، ويجد الإجابات بسؤال خوادم أخرى، ثم يخزّنها مؤقتًا ويعيدها إليهم. أما خادم الأسماء الموثوق فيعمل نيابةً عن مالكي النطاقات: يحتفظ بسجلات نطاقات محددة ويقدّم الإجابة النهائية الرسمية عنها.

ببساطة، DNS التكراري هو جانب السؤال، وDNS الموثوق هو جانب الإجابة. حماية عمليات البحث الخاصة بالمستخدمين مهمة تخص DNS التكراري، أما نشر نطاقاتك أنت بشكل صحيح فمهمة تخص DNS الموثوق.

كيف يعمل التفويض

DNS نظام هرمي. تعرف الخوادم الجذرية أي الخوادم مسؤولة عن كل نطاق من المستوى الأعلى، مثل .com أو .ae. وتعرف خوادم نطاق المستوى الأعلى أي خوادم الأسماء موثوقة لكل نطاق مسجَّل تحته. وعندما تسجّل نطاقًا، ينشر مسجّل النطاقات خوادم الأسماء التي اخترتها (سجلات NS) لدى نطاق المستوى الأعلى. هذا التفويض هو ما يجعل خوادمك الموثوقة المصدر الرسمي لمنطقتك.

المنطقة (Zone) هي مجموعة السجلات الخاصة بنطاق ما والتي تديرها جهة واحدة. ولكل منطقة سجل SOA (بداية السلطة) يتضمن تفاصيل إدارية مثل الرقم التسلسلي الذي يتغير مع كل تحديث للمنطقة، وسجلات NS التي تسرد خوادمها الموثوقة.

أهم السجلات

• A وAAAA: يربطان اسمًا بعنوان IPv4 أو IPv6، مثل موقعك الإلكتروني أو واجهة API.
• CNAME: يجعل اسمًا ما اسمًا مستعارًا لاسم آخر، ويُستخدم غالبًا للإشارة إلى خدمة سحابية أو خدمة SaaS.
• MX: يحدد خوادم البريد التي تستقبل رسائل النطاق.
• TXT: يحتفظ بقيم نصية، منها سجلات SPF وDKIM وDMARC التي تحمي نطاقك من انتحال البريد الإلكتروني، ومنها كذلك عمليات التحقق من ملكية النطاق.
• NS وSOA: يحدّدان الخوادم الموثوقة للمنطقة وإعداداتها الإدارية.
• CAA: يسرد جهات إصدار الشهادات المسموح لها بإصدار شهادات TLS للنطاق.
• SRV وPTR: يحدّدان موقع خدمات بعينها، ويربطان عناوين IP بالأسماء في عمليات البحث العكسي.

قيم TTL والانتشار

لكل سجل مدة بقاء (TTL) تخبر المحلّلات بالمدة التي يجوز لها فيها تخزينه مؤقتًا. القيم الطويلة لـ TTL تقلل حمل الاستعلامات وتجعل الإجابات سريعة، أما القيم القصيرة فتتيح سريان التغييرات بسرعة. وما يُسمّى غالبًا انتشار DNS هو في حقيقته انتهاء صلاحية ما في الذاكرة المؤقتة: فبعد تعديل سجل ما، تواصل المحلّلات تقديم الإجابة القديمة حتى تنتهي مدة TTL الخاصة بها. وخفض TTL قبل يوم من أي ترحيل مخطط له طريقة بسيطة لجعل الانتقال سريعًا.

المناطق الأساسية والثانوية

المنطقة الأساسية هي المكان الذي تُنشأ فيه السجلات وتُحرَّر. أما المنطقة الثانوية فهي نسخة للقراءة فقط يحافظ خادم آخر على مزامنتها عبر عمليات نقل المنطقة (AXFR). وتعتمد مؤسسات كثيرة مزوّدًا ثانويًا لمزيد من المرونة، أو تُبقي المنطقة الأساسية في مقرّها وتستخدم خدمة سحابية كمنطقة ثانوية. ينبغي حصر عمليات نقل المنطقة في خوادم معروفة ومصادقتها بمفاتيح TSIG، حتى لا يتمكن أي طرف آخر من تنزيل نسخة كاملة من منطقتك.

تأمين DNS الموثوق

لأن DNS الموثوق هو من يقرر وجهة مستخدميك وعملائك، فهو هدف عالي القيمة. وأهم وسائل الحماية هي:

• DNSSEC: وقّع منطقتك ليتمكن المحلّلون من التحقق من أن الإجابات أصلية وغير معدَّلة. انشر سجل DS لدى مسجّل النطاقات لإكمال سلسلة الثقة، وتأكد من تدوير المفاتيح بأمان.
• أمان الحسابات: احمِ حسابات مسجّل النطاقات ومزوّد DNS بالمصادقة متعددة العوامل والتحكم في الوصول حسب الأدوار وقفل السجل (Registry Lock) حيثما توفر، لأن الاختطاف يبدأ غالبًا بكلمة مرور مسروقة.
• ضوابط الوصول: قصر عمليات نقل المنطقة على الخوادم المعتمدة مع مصادقة TSIG، واستخدم قوائم التحكم في الوصول للاستعلامات (ACL) عندما ينبغي أن تجيب المنطقة شبكات معينة فقط.
• المراقبة والتدقيق: فعّل التنبيه عند أي تغييرات غير متوقعة في السجلات، وعند غياب سجل DS أو عدم تطابقه في المنطقة الأم، واحتفظ بسجل تدقيق يبيّن من غيّر ماذا.

الحفاظ على توافر DNS الموثوق

ينبغي تقديم DNS الموثوق من عدة خوادم موزعة جغرافيًا، حتى لا يؤدي تعطل موقع واحد أو سيل من الطلبات إلى إخراج نطاقاتك عن الخدمة. وإلى جانب التوافر، يستطيع DNS الموثوق أيضًا توجيه حركة المرور:

• التحويل عند الأعطال مع فحوصات الصحة: يفحص DNS نقاط النهاية لديك ويتوقف عن تقديم عنوان أي نقطة متعطلة، وينتقل تلقائيًا إلى نقطة احتياطية.
• التوجيه الجغرافي (GeoDNS): يحصل المستخدمون في دول أو مناطق مختلفة على إجابات مختلفة، مثل أقرب مركز بيانات أو خدمة داخل الدولة لأسباب تتعلق بإقامة البيانات.
• الاختيار حسب زمن الاستجابة: تُعرض أولًا أسرع نقطة نهاية سليمة.
• موقع العميل: عندما يرسل محلّل المستخدم EDNS Client Subnet، يمكن أن يستند التوجيه إلى شبكة المستخدم بدلًا من موقع المحلّل.

اختيار مزوّد DNS الموثوق

• شبكة خدمة موزعة بنموذج مرونة تفهمه جيدًا.
• DNSSEC مع توقيع وتدوير مفاتيح تلقائيين، وليس عملية يدوية.
• فحوصات الصحة والتحويل عند الأعطال والتوجيه الجغرافي مدمجة أصلًا، لا مضافة لاحقًا.
• دعم المناطق الثانوية وعمليات نقل المنطقة وTSIG.
• تحكم في الوصول حسب الأدوار وسجلات تدقيق وواجهة API للأتمتة.
• وضوح بشأن مكان تخزين بيانات منطقتك، إذا كنت خاضعًا لقواعد إقامة البيانات.

DNS الموثوق مع DNS Armor Resolve™

DNS Armor Resolve™ هي خدمة DNS الموثوق ضمن منصة DNS Armor™، وتُباع برخصة مستقلة. تُقدَّم المناطق من مجموعة موزعة من خوادم الحافة الموثوقة، وتصل المناطق الجديدة أو المعدَّلة إلى كل خادم حافة تلقائيًا. يتم توقيع DNSSEC بشكل مباشر وتلقائي، مع إنشاء المفاتيح وتدويرها بواسطة المنصة؛ وتفحص Resolve سجل DS لدى مسجّل النطاقات وترسل إليك بريدًا إلكترونيًا إذا كان غائبًا أو غير مطابق، وكذلك قبل كل تدوير مجدول لمفتاح توقيع المفاتيح.

تجمع Smart Routing بين الشرائح الجغرافية والتحويل عند الأعطال بحسب مجموعات الأولوية مع فحوصات الصحة والترتيب حسب زمن الاستجابة، في سياسة واحدة لكل سجل. وتتحكم قوائم ACL للاستعلامات وقوائم ACL للنقل ومفاتيح TSIG فيمن يستطيع الاستعلام عن مناطقك ونقلها، ويمكن للمناطق الثانوية أن تعكس منطقة أساسية قائمة. وتبقى بيانات المنطقة في الإقليم الذي تختاره، وتُدار كل الخدمات من البوابة نفسها، بالإنجليزية والعربية، كما هو الحال مع DNS Armor Protect™.