Gestione delle zone

Creazione di una zona

Per creare una nuova zona DNS, navighi su Zone → Crea zona. Il modulo richiede i seguenti campi:

Nome di dominio – un nome di dominio valido (es. example.com). Il nome viene normalizzato in minuscolo e l’eventuale punto finale viene rimosso automaticamente. I nomi di dominio seguono le regole standard per gli hostname (una o più etichette seguite da un TLD valido). Il controllo non è sensibile alle maiuscole.

Gruppo NS – seleziona quale set di server dei nomi sarà autorevole per la zona. Un gruppo NS è un set di server dei nomi NexDNS (un server principale e uno o più secondari). Se è disponibile un solo gruppo NS, viene preselezionato.

Tipo di zona – Principale (predefinito) o Secondaria. La creazione di zone secondarie richiede la funzionalità slave_zones nel piano.

Cosa succede quando viene creata una zona principale:

1. Il dominio viene verificato per la disponibilità – due account non possono ospitare lo stesso dominio.
2. La quota di domini viene verificata rispetto al limite del piano di abbonamento.
3. Il sistema verifica che la zona non sia già presente sul gruppo NS selezionato.
4. La Sua zona viene registrata nel Suo account con stato pending.
5. La zona viene predisposta sui server dei nomi NexDNS come zona Master, con un record SOA iniziale e record NS derivati dai server del gruppo NS.
6. Il record SOA viene impostato su: {primary-ns} {admin-email} 1 10800 3600 604800 3600 dove il seriale parte da 1, il refresh è 10800s (3 ore), il retry è 3600s (1 ora), l’expire è 604800s (7 giorni) e il TTL minimo è 3600s (1 ora). Il TTL predefinito per i record SOA e NS è preso dalla configurazione del gruppo NS (fallback: 3600s).
7. I record NS vengono creati per ciascun hostname dei server dei nomi nel gruppo NS. Se il Suo piano include la funzionalità ns_aliases, vengono utilizzati hostname NS personalizzati.
8. Una copia della zona viene creata su ogni server dei nomi secondario nel gruppo NS per la ridondanza.

La creazione di zone è bloccata se l’account ha fatture scadute. È necessario un abbonamento attivo.

Clonazione di una zona

Una zona principale esistente può essere clonata per creare una nuova zona con un nome di dominio diverso. L’operazione di clonazione crea una nuova zona (seguendo lo stesso processo della creazione di una zona) e quindi copia tutti i record DNS dalla zona di origine, ad eccezione dei record SOA e NS all’apice che vengono generati ex novo.

Durante la clonazione, tutti i nomi dei record e i valori di contenuto che fanno riferimento al dominio di origine vengono riscritti con il nuovo dominio. Ad esempio, se la zona di origine è old.com e la destinazione è new.com, un record CNAME che punta a www.old.com. verrà riscritto in www.new.com..

Solo le zone principali possono essere clonate. L’utente deve avere accesso in modifica alla zona di origine.

Importazione di una zona

Le zone possono essere importate da file di zona BIND standard. Navighi su Zone → Importa zona per accedere al modulo di importazione.

Metodi di input: incolli il contenuto del file di zona nell’area di testo oppure carichi un file di zona (massimo 2 MB).

Sostituzione del nome di dominio: è possibile specificare un nome di dominio. Se lasciato vuoto, il sistema tenta di rilevare il dominio dal record SOA nel file di zona.

Gruppo NS: selezioni il gruppo NS per la zona importata, come per la creazione manuale delle zone.

Processo di importazione:

1. Il contenuto del file di zona viene normalizzato: i commenti (che iniziano con ;) vengono rimossi e i record multilinea tra parentesi vengono compressi in singole righe.
2. Il parser riconosce la direttiva $TTL e la utilizza come TTL predefinito. La direttiva $ORIGIN e le altre direttive vengono ignorate.
3. Ogni riga viene analizzata come record BIND: nome, TTL opzionale, classe opzionale (IN), tipo di record e contenuto. Le stringhe tra virgolette (es. valori TXT) vengono preservate correttamente.
4. Viene creata una nuova zona principale con record SOA e NS (come nella creazione normale).
5. I record SOA e NS dal file importato vengono ignorati – il sistema genera i propri.
6. Tipi di record supportati per l’importazione: A, AAAA, CNAME, MX, TXT, SRV, CAA, PTR, ALIAS, DNAME, DS, TLSA. Gli altri tipi vengono ignorati silenziosamente.
7. I nomi dei record vengono risolti relativamente al dominio: @ diventa l’apice della zona, i nomi completi che terminano con il dominio vengono convertiti in nomi brevi.
8. Ogni record viene creato singolarmente. Se un record specifico non supera la validazione, viene saltato e l’errore viene segnalato – i record rimanenti continuano a essere importati.

Dopo l’importazione, si viene reindirizzati alla pagina di dettaglio della zona. Un riepilogo mostra quanti record sono stati importati con successo e quanti hanno avuto errori.

Esportazione di una zona

Qualsiasi zona può essere esportata nel formato standard dei file di zona BIND. Nella pagina di dettaglio della zona, utilizzi l’azione di esportazione per scaricare il file.

La zona viene esportata in formato compatibile BIND e fornita come download di testo semplice denominato {domain}.zone (es. example.com.zone).

Il file esportato può essere importato in qualsiasi server DNS che supporta il formato dei file di zona BIND, o reimportato in NexDNS utilizzando la funzione di importazione.

Zone secondarie

Una zona secondaria è una copia di sola lettura di una zona ospitata su un server DNS principale esterno. NexDNS preleva i dati della zona dal server principale tramite trasferimento AXFR. Questo è utile quando si desidera utilizzare i server dei nomi NexDNS come secondari per zone gestite altrove.

Requisiti: la creazione di zone secondarie richiede la funzionalità slave_zones nel piano di abbonamento.

Indirizzo IP principale: è necessario fornire un indirizzo IP valido del server DNS principale. Questo IP viene utilizzato per eseguire i trasferimenti AXFR. Il server principale deve consentire i trasferimenti di zona dagli indirizzi IP del server NexDNS.

Come funzionano le zone secondarie:

1. La zona secondaria viene registrata nel Suo account con tipo slave e l’IP principale specificato.
2. I server dei nomi NexDNS vengono configurati per prelevare la zona dal Suo IP principale come sorgente di trasferimento.
3. I server dei nomi NexDNS eseguono automaticamente un trasferimento AXFR dal server principale per popolare i dati della zona.
4. Le zone secondarie non possono essere modificate direttamente – i record sono gestiti sul server principale esterno.

Retransfer manuale: è possibile attivare un retransfer AXFR manuale dalla pagina di dettaglio della zona. Questo recupera nuovamente l’intera zona dal server principale immediatamente. Utilizzi questa funzione se sa che il server principale è stato aggiornato e non desidera attendere il normale ciclo di refresh basato su SOA.

DNSSEC

DNSSEC (DNS Security Extensions) fornisce l’autenticazione crittografica delle risposte DNS, proteggendo contro lo spoofing e il cache poisoning. NexDNS supporta la firma DNSSEC automatica per le zone principali.

Abilitazione di DNSSEC:

1. DNSSEC può essere abilitato dalla pagina di dettaglio della zona. L’opzione è disponibile solo per le zone principali.
2. Quando viene abilitato, il sistema crea due chiavi crittografiche per la zona:
   • Una KSK (Key Signing Key) – firma il set di record DNSKEY.
   • Una ZSK (Zone Signing Key) – firma tutti gli altri set di record nella zona.
3. Entrambe le chiavi utilizzano l’algoritmo ECDSAP256SHA256 (algoritmo 13, ECDSA con curva P-256 e SHA-256). È un algoritmo moderno, ampiamente supportato e con firme compatte.
4. La firma della zona è gestita automaticamente – ogni risposta DNS viene firmata in tempo reale.

Record DS:

Dopo aver abilitato DNSSEC, il sistema fornisce record DS (Delegation Signer) che devono essere aggiunti presso il registrar del dominio. Questi record DS creano la catena di fiducia dalla zona padre. I record DS sono visualizzati nella pagina di dettaglio della zona e sono derivati dalla KSK attiva. Senza configurare i record DS presso il registrar, la validazione DNSSEC non funzionerà per i resolver esterni.

Rotazione delle chiavi:

Le chiavi possono essere ruotate singolarmente (KSK o ZSK). La rotazione crea una nuova chiave dello stesso tipo con l’algoritmo ECDSAP256SHA256, la attiva e disattiva la precedente. La vecchia chiave viene conservata (ma disattivata) per supportare il periodo di rollover. Le singole chiavi possono anche essere attivate, disattivate o eliminate tramite l’interfaccia di gestione delle zone.

Disabilitazione di DNSSEC:

Quando DNSSEC viene disabilitato, tutte le chiavi crittografiche per la zona vengono eliminate. È necessario rimuovere anche i record DS dal registrar del dominio per evitare errori di validazione. La zona torna al funzionamento DNS standard non firmato.

Eliminazione di una zona

Le zone possono essere eliminate singolarmente dalla pagina di dettaglio della zona o in blocco dall’elenco delle zone. L’eliminazione richiede accesso in modifica alla zona.

Quando una zona viene eliminata, si verifica quanto segue in ordine:

1. Le copie secondarie vengono rimosse da tutti i server secondari nel gruppo NS della zona (gli errori vengono registrati ma non bloccano l’eliminazione).
2. La zona viene rimossa dai server dei nomi NexDNS. Se è già assente, l’eliminazione procede normalmente.
3. La zona viene rimossa dal Suo account.

L’eliminazione è immediata e irreversibile. Tutti i record DNS associati alla zona vengono eliminati definitivamente.

Gruppi NS

Un gruppo NS è un set di server dei nomi NexDNS che servono le Sue zone. Ogni gruppo ha un nome e contiene un server dei nomi principale e uno o più secondari.

I gruppi NS sono configurati con:

• TTL predefinito – utilizzato per i record SOA e NS durante la creazione delle zone (validato come valore TTL corretto).
• IP del server principale – l’indirizzo IP che i server secondari utilizzano per i trasferimenti AXFR all’interno del gruppo.
• Email admin – email di contatto opzionale per il gruppo.

Quando viene creata una zona, i server del gruppo NS determinano i record NS aggiunti alla zona e quali server secondari ricevono una copia della zona per la ridondanza.

Stato di sincronizzazione della zona

Ogni zona ha uno stato di sincronizzazione che indica se è stata predisposta correttamente sui server dei nomi NexDNS. Valori possibili:

• pending – la zona è stata registrata ma non è ancora attiva sui server dei nomi.
• syncing – la predisposizione sui server dei nomi è attualmente in corso.
• synced – la zona è completamente predisposta e attiva sui server dei nomi.
• failed – la predisposizione non è riuscita. L’utente viene avvisato e il sistema riprova automaticamente in background.

Nella maggior parte dei casi, la predisposizione avviene immediatamente durante la creazione della zona. Se non può essere completata subito, la zona rimane in stato pending e viene ritentata automaticamente.