Module 7 · 7.1

Français

Nederlands English Deutsch Français

Le DNS vers votre VPS et le reverse DNS

Module 7: Domaine, serveur web et https · Temps de lecture : 10 minutes

Objectif pédagogique : À l'issue de cette leçon, vous saurez faire pointer un domaine ou un sous-domaine vers votre VPS avec des enregistrements A et AAAA, configurer correctement le reverse DNS de votre serveur et vérifier que le nom et l'adresse correspondent dans les deux sens.

Notions clés : enregistrement A, enregistrement AAAA, TTL, un sous-domaine par service, www, nom d'hôte du serveur, PTR, reverse DNS, forward-confirmed reverse DNS (FCrDNS), CAA, oubli d'IPv6

De l'adresse IP au nom

Jusqu'ici, vous avez accédé à votre serveur par son adresse IP, par exemple ssh anna@192.0.2.10. Pour un site web, un certificat (leçon 7.3) et les services du module 9, il vous faut un nom. Ce lien se crée dans le DNS de votre domaine, chez le prestataire qui gère votre DNS : votre registrar, votre hébergeur ou un service DNS. Le VPS lui-même n'y intervient pas ; votre serveur ne « sait » pas quels noms pointent vers lui.

Vous avez appris les bases du DNS dans la formation DNS. Pour un VPS, vous avez surtout besoin de deux enregistrements :

Enregistrement	Rôle	Exemple
A	nom vers adresse IPv4	`web1.example.com. 3600 IN A 192.0.2.10`
AAAA	nom vers adresse IPv6	`web1.example.com. 3600 IN AAAA 2001:db8::10`

Votre VPS dispose généralement d'une adresse IPv4 fixe et d'une adresse IPv6 fixe. Créez alors les deux enregistrements. Les visiteurs disposant d'IPv6 (aux Pays-Bas, une grande partie des connexions domestiques et des réseaux mobiles) utiliseront alors IPv6, les autres IPv4.

Quels noms créer ?

Une organisation courante pour un VPS hébergeant un site web et quelques services :

web1.example.com.       A     192.0.2.10        ; le serveur lui-même (nom d'hôte, PTR)
web1.example.com.       AAAA  2001:db8::10
example.com.            A     192.0.2.10        ; le site web
example.com.            AAAA  2001:db8::10
www.example.com.        CNAME example.com.
status.example.com.     CNAME web1.example.com. ; Uptime Kuma (leçon 9.4)
kluis.example.com.      CNAME web1.example.com. ; Vaultwarden (leçon 9.4)

Plusieurs choix sont faits ici :

Le serveur a son propre nom (web1), indépendant du site web. Vous utilisez ce nom pour SSH, pour le reverse DNS et comme nom d'hôte du système. Si le site web déménage plus tard sur un autre serveur, web1 reste tout simplement correct.
Un sous-domaine par service. Uptime Kuma et Vaultwarden reçoivent chacun leur propre nom. C'est bien plus simple (et plus sûr) que de placer des services sous un chemin comme example.com/kluis : chaque service obtient son propre certificat, les cookies ne se mélangent pas, et vous pouvez déplacer un service vers un autre serveur plus tard en modifiant un seul enregistrement.
Des CNAME pour les sous-domaines. Un CNAME vers web1 signifie que si l'adresse IP du serveur change, vous ne modifiez que les enregistrements de web1. Le nom de domaine nu (example.com) ne peut pas porter de CNAME ; vous y placez des enregistrements A et AAAA.

Le nom d'hôte du système lui-même se configure sur le serveur :

anna@web1:~$ sudo hostnamectl set-hostname web1.example.com
anna@web1:~$ hostname -f
web1.example.com

Vérifiez aussi que /etc/hosts ne contient pas d'ancien nom. Un nom d'hôte correct est surtout important si le serveur envoie un jour des e-mails.

TTL : à quelle vitesse une modification se propage

Le TTL (time to live) est le nombre de secondes pendant lesquelles les résolveurs peuvent garder une réponse en mémoire. Avec 3600, il peut s'écouler jusqu'à une heure avant que tout le monde voie une nouvelle adresse. Si vous allez déménager un site web vers votre VPS, réglez le TTL sur 300 (cinq minutes) la veille, attendez au moins la durée de l'ancien TTL, modifiez l'adresse, puis remontez le TTL. C'est exactement la procédure de la formation DNS, leçon 6.3.

Vérifiez avec dig (formation DNS, leçon 8.2) ce que voit le reste d'Internet, en interrogeant un résolveur public plutôt que votre propre ordinateur :

anna@laptop:~$ dig +short A example.com @1.1.1.1
192.0.2.10
anna@laptop:~$ dig +short AAAA example.com @1.1.1.1
2001:db8::10

Sous Windows : Resolve-DnsName example.com -Type AAAA -Server 1.1.1.1.

Le piège : un enregistrement AAAA sans IPv6 fonctionnel

Si vous créez un enregistrement AAAA, le service doit réellement être joignable en IPv6. Une erreur fréquente : l'enregistrement existe, mais le serveur web n'écoute qu'en IPv4, ou le pare-feu ne laisse pas passer IPv6 (leçon 5.2), ou IPv6 n'est pas configuré dans le VPS. Les visiteurs en IPv6 voient alors un site lent ou inaccessible, alors que chez vous « tout fonctionne » parce que vous n'avez peut-être que l'IPv4 à domicile. Let's Encrypt essaie lui aussi IPv6 en premier lorsqu'un enregistrement AAAA existe (leçon 7.3). Si votre serveur répond différemment en IPv6 et en IPv4, la demande de certificat échoue.

Testez donc IPv6 séparément, depuis une autre machine disposant d'IPv6 : curl -6 -I https://example.com. Si vous n'avez pas vous-même d'IPv6, utilisez un test en ligne comme internet.nl.

Reverse DNS : de l'adresse vers le nom

Le reverse DNS associe une adresse IP à un nom, au moyen d'un enregistrement PTR (formation DNS, leçon 4.6). Cet enregistrement ne se trouve pas dans la zone de votre domaine, mais dans la zone de l'adresse IP, qui appartient à l'organisation qui gère cette adresse : votre fournisseur de VPS. Vous configurez donc le PTR dans le panneau du fournisseur, pas dans votre propre DNS.

Pourquoi le faire ?

Le courrier. Les serveurs de messagerie destinataires refusent ou se méfient du courrier provenant d'une adresse sans reverse DNS correct. Si votre VPS envoie des e-mails (ne serait-ce qu'une notification de formulaire), c'est indispensable (voir la formation sur l'e-mail, leçon 5.1).
La lisibilité. Dans les journaux et les traceroutes, les autres voient web1.example.com au lieu d'un nom générique du fournisseur.
La bonne tenue. Certains services et filtres antispam attribuent des points de pénalité aux adresses dont le PTR est générique ou absent.

La règle est le forward-confirmed reverse DNS (FCrDNS) : l'adresse pointe par PTR vers un nom, et ce nom pointe par A ou AAAA vers la même adresse. Créez donc d'abord les enregistrements A et AAAA, puis demandez le PTR, pour IPv4 comme pour IPv6.

anna@laptop:~$ dig +short -x 192.0.2.10
web1.example.com.
anna@laptop:~$ dig +short A web1.example.com
192.0.2.10
anna@laptop:~$ dig +short -x 2001:db8::10
web1.example.com.
anna@laptop:~$ dig +short AAAA web1.example.com
2001:db8::10

Si les quatre requêtes renvoient la réponse attendue, la correspondance est correcte dans les deux sens.

CAA : qui peut émettre des certificats ?

Avec un enregistrement CAA (formation DNS, leçon 5.2), vous indiquez quelles autorités de certification peuvent émettre des certificats pour votre domaine. Si vous utilisez uniquement Let's Encrypt :

example.com.  3600  IN  CAA  0 issue "letsencrypt.org"

Ce n'est pas obligatoire, mais c'est une couche supplémentaire bienvenue. Attention : si un enregistrement CAA désignant une autre autorité existe déjà, Let's Encrypt refusera votre demande. Vérifiez donc d'abord avec dig CAA example.com.

En pratique : le reverse DNS dans l'écran du VPS

Chez WebOké, vous configurez le reverse DNS dans l'écran du VPS, sous l'onglet « ISO et rDNS ». Si le DNS de votre domaine est également chez WebOké, le panneau peut créer directement les enregistrements A et AAAA pour vous ; si le DNS est ailleurs, créez d'abord ces enregistrements vous-même, puis saisissez le nom complet. Chez d'autres fournisseurs, cette fonction s'appelle « Reverse DNS », « rDNS » ou « PTR » dans l'espace client ; certains exigent une demande par ticket. Le principe est partout le même : d'abord le nom vers l'adresse, puis l'adresse vers le nom.

Résumé

Vous associez un nom à votre VPS avec un enregistrement A (IPv4) et un enregistrement AAAA (IPv6), dans le DNS de votre domaine.
Donnez au serveur son propre nom (web1.example.com) et à chaque service son propre sous-domaine ; des CNAME vers le nom du serveur facilitent les déménagements.
Abaissez le TTL avant un déménagement et vérifiez avec dig auprès d'un résolveur public.
Ne créez pas d'enregistrement AAAA si le service ne fonctionne pas réellement en IPv6 ; testez IPv6 séparément.
Le PTR se configure chez votre fournisseur de VPS ; la correspondance doit être valable dans les deux sens (FCrDNS), pour IPv4 et IPv6.

Quiz

Exercice

Exercice Z7.1 : A, AAAA et PTR de votre serveur. Donnez à votre serveur son propre nom (par exemple web1.<jouwdomein>), créez les enregistrements A et AAAA et configurez le reverse DNS chez votre fournisseur. Dans l'exercice, saisissez le nom de votre serveur, l'adresse IPv4 et l'adresse IPv6, ainsi que le nom obtenu avec dig -x pour les deux adresses. Le programme interroge en direct les enregistrements A et AAAA ainsi que le PTR des deux adresses, et vérifie que tout correspond dans les deux sens. Si votre serveur n'a pas d'IPv6, il ne vérifie que l'IPv4 et le signale en orange.

Cookies sur WebOké

Paramètres des cookies

Nécessaires

Marketing