Glue records: når og hvorfor du trenger dem

Glue records er A- og AAAA-poster som legges ved siden av NS-postene i en stamzone for å bryte den sirkulære avhengigheten i DNS (Domain Name System, systemet som oversetter domenenavn til IP-adresser). Du trenger dem når en navneserver ligger innenfor domenet den selv betjener, for eksempel når ns1.example.com skal svare for example.com. Da må noen utenfor sonen kunne finne IP-adressen til navneserveren, og det er akkurat det glue gjør.

Kortversjonen

Glue-poster trengs bare når navneserveren ligger i den sonen den selv er autoritativ for, altså den sonen som er den offisielle kilden til svarene for domenet. Bruker du navneservere i en annen sone, som hos en registrar eller en dedikert DNS-leverandør, er det ingen sirkulær avhengighet og du trenger ikke forholde deg til glue. For et vanlig oppsett er dette sjeldent nødvendig, men når det først trengs, er det avgjørende for at domenet fungerer.

Hva er glue records?

For å finne ut hvilke navneservere som betjener example.com, spør en resolver (tjenesten som slår opp domenenavn) stamsonen til .com. Stamsonen svarer med NS-poster (name server, navneserver) som peker på hostname, for eksempel ns1.example.com. Problemet oppstår når det hostname bare kan løses av den sonen vi akkurat prøver å nå. Resolveren havner i en sløyfe: den må inn i example.com for å finne ns1.example.com, og inn til ns1.example.com for å finne example.com.

Glue records bryter sløyfen ved at stamsonen også leverer IP-adressen til navneserveren i selve svaret. Navnet kommer av at posten limer NS-hostname sammen med en adresse i delegasjonen. Viktig å vite: glue ligger i stamsonen, ikke i sonen til domenet selv. Du finner den derfor ikke blant de vanlige postene i ditt eget DNS-oppsett.

Når trenger du glue records?

Kort sagt: når en navneserver ligger innenfor den sonen den selv er autoritativ for. Da oppstår den sirkulære avhengigheten, og stamsonen må ha glue for at oppslag skal kunne fullføres. I praksis dukker dette opp i to situasjoner.

Navneserver i egen sone

Hoste du ns1.example.com og ns2.example.com selv, og begge skal betjene example.com, krever delegasjonen glue i stamsonen til .com. Det samme gjelder hvis navneserveren for et annet domene ligger i example.com. Så lenge NS-hostname ligger i en sone du selv kontrollerer, må adressen finnes som glue i sonen over.

For .no ligger delegasjonen i stamsonen til Norid, som er registeret for norske toppdomener. Oppgir du navneservere i samme sone som domenet selv, må den nødvendige glue-posten være på plass hos Norid. De fleste oppdager dette i praksis først når domenet ikke svarer.

Delegasjon av subdomener

Du kan også støte på behovet uten å endre noe på toppnivå. Delegerer du sub.example.com til egne navneservere, legger du NS-poster i sonen til example.com. Ligger navneserverne i selve subdomenet, som ns1.sub.example.com, trenger sonen din en glue-record ved siden av NS-posten. Noen DNS-kontrollpaneler har en egen oppføring for dette, andre forventer at du legger til adressen manuelt.

Når du ikke trenger glue records

Ligger navneserveren i en helt annen sone, er det ikke behov for glue. Det er normalen når du bruker en registrar eller en dedikert DNS-leverandør: navneserveren får da et hostname i leverandørens egen sone, og det hostname løses av en helt vanlig delegasjon. Stamsonen til domenet ditt trenger dermed bare NS-poster, uten glue.

For .no gjelder kravet om minst to navneservere, men disse kan ligge i hvilke som helst soner. I praksis betyr det at de fleste oppsett aldri trenger glue-poster. Bruker du for eksempel navneservere fra Feno eller en annen DNS-leverandør, ligger de i en sone utenfor domenet ditt, og delegasjonen er rett fram.

Slik sjekker du om domenet har glue-poster

Du kan undersøke delegasjonen din med dig, verktøyet som følger med de fleste operativsystemer. Slik gjør du det.

Sjekk hele kjeden med dig +trace example.com NS. I utskriften fra TLD-stamsonen (for .no er det Norid) ser du NS-postene for domenet, og eventuelle A- og AAAA-poster ved siden av dem er glue.
Spør stamsonen direkte og urekursivt med dig +norecurse example.com NS @a.nic.no. Dette gir deg kun svaret fra selve stamsonen, uten at ditt eget oppsett forstyrrer.
Sammenlign glue mot det sonen faktisk publiserer: dig ns1.example.com A +short. Stemmer ikke adressene, har du utdatert glue.
For subdomener: sjekk at NS-postene for sub.example.com finnes i sonen til example.com, og at eventuelle in-zone navneservere har riktige A- eller AAAA-poster.

Vil du se hele bildet grafisk, er dnsviz.net et godt verktøy for å visualisere delegasjoner og glue i domenet ditt. Det gjør det lett å oppdage mangler som ellers er vanskelige å se.

Vanlige fallgruver med glue

Den vanligste feilen er utdatert glue. Flytter du en in-zone navneserver til en ny IP-adresse, men glue-posten i stamsonen blir stående, vil enkelte resolvere fortsatt prøve den gamle adressen. TTL-en (time to live, hvor lenge et DNS-svar kan mellomlagres) bestemmer hvor lenge problemet varer. Resultatet er ustabilitet der noen brukere kommer inn og andre ikke.

Feilen er lett å overse, fordi sonen selv kan se helt riktig ut. NS- og glue-poster ligger på forskjellige steder og oppdateres i ulike systemer, så ingenting sørger automatisk for at de stemmer overens. Har du en navneserver i egen sone, er det lurt å notere i rutinene at et adressebytte krever to oppdateringer: én i sonen og én i delegasjonen.

Ofte stilte spørsmål om glue records

Må jeg gjøre noe selv hvis jeg bruker Feno sine navneservere?

Nei. Når navneserveren ligger i en annen sone enn domenet, er det ingen sirkulær avhengighet og dermed ingen glue å holde ved like. Du trenger bare å sørge for at domenet peker på de riktige navneserverne, og det kan du gjøre i Feno sitt kontrollpanel.

Hva skjer hvis glue-posten ikke stemmer med virkeligheten?

Domenet kan bli ustabilt eller delvis utilgjengelig. Resolverne som har mellomlagret den gamle adressen, prøver seg mot en IP som ikke svarer, og henter først senere den oppdaterte sonen. I verste fall varer dette i flere dager, avhengig av TTL-verdiene.

Er glue records det samme som NS-poster?

Nei. NS-poster oppgir hvilke navneservere en sone bruker. Glue-poster er tilleggsinformasjon som legges ved siden av NS-postene i stamsonen, kun for å bryte den sirkulære avhengigheten. Du kan ha NS-poster uten glue, men ikke glue uten at det finnes en NS-delegasjon den henger sammen med.

Oppsummering og neste steg

Glue records er altså ikke noe du trenger å tenke på i de fleste oppsett, men de er avgjørende når en navneserver lever i sin egen sone. Start med å sjekke delegasjonen din med dig, og sammenlign glue mot det sonen faktisk publiserer. Da unngår du det vanligste problemet, nemlig utdaterte adresser.

Trenger du et nytt .no-domene, starter prisen på 99 kr i året med transparent prising og norsk eierskap. Registrer domenet ditt hos Feno og få kontroll over DNS-oppsettet i ett og samme verktøy.