มอบหมายซับโดเมนให้ DNS อื่นด้วย NS Record

# ทดสอบว่า DNS ปลายทางตอบได้แล้ว โดยถามตรงไปที่เซิร์ฟเวอร์นั้น
dig @ns1.provider.net api.example.com +short
dig @ns1.provider.net www.api.example.com +short

api.example.com.  3600  IN  NS  ns1.provider.net.
api.example.com.  3600  IN  NS  ns2.provider.net.

dig api.example.com A @ns-of-parent-zone +short
dig api.example.com NS +short

api.example.com.      IN  NS  ns1.api.example.com.
api.example.com.      IN  NS  ns2.api.example.com.
ns1.api.example.com.  IN  A   203.0.113.20
ns2.api.example.com.  IN  A   203.0.113.21

# ดูว่าโดเมนแม่ส่งต่อไปที่ไหน
dig api.example.com NS +norecurse @ns1.parent-dns.com

# ไล่ตามห่วงโซ่ทั้งหมด
dig +trace api.example.com

# ตรวจจาก Resolver สาธารณะ
dig api.example.com +short @1.1.1.1
dig api.example.com +short @8.8.8.8

ขั้นตอนที่ 5: กรณีใช้งานจริง

แยกระบบทดสอบออกจากระบบจริง

มอบหมาย dev.example.com ให้ DNS ที่ทีมพัฒนาควบคุมเอง ทำให้สร้างและลบซับโดเมนย่อยได้เองโดยไม่ต้องขอฝ่าย IT ทุกครั้ง

ใช้ Cloudflare เฉพาะบางส่วน

เก็บโดเมนหลักไว้ที่ DNS เดิม แล้วมอบหมายเฉพาะ www หรือ shop ไปที่ Cloudflare เพื่อใช้ความสามารถด้านการป้องกันโดยไม่ต้องย้ายทั้งโดเมน

ระบบที่ต้องการควบคุม DNS ด้วยโค้ด

ระบบ Kubernetes หรือระบบออกใบรับรองอัตโนมัติมักต้องสร้างระเบียน DNS เอง การมอบหมายซับโดเมนให้ระบบนั้นควบคุมเป็นวิธีที่ปลอดภัยกว่าการให้สิทธิ์แก้ทั้งโดเมน

ยืนยันใบรับรองแบบ DNS challenge

มอบหมาย _acme-challenge.example.com ไปยัง DNS ที่มี API ทำให้ขอใบรับรอง Wildcard อัตโนมัติได้แม้ผู้ให้บริการ DNS หลักไม่มี API

_acme-challenge.example.com.  IN  NS  ns1.acme-dns.io.

ขั้นตอนที่ 6: ตั้ง TTL ให้เหมาะสม

ระเบียน NS ควรตั้ง TTL ยาว เช่น 3600 ถึง 86400 วินาที เพราะไม่ค่อยเปลี่ยน และการตั้งสั้นทำให้ Resolver ต้องถามบ่อยโดยไม่จำเป็น

แต่เมื่อวางแผนจะเปลี่ยน ให้ลด TTL ลงล่วงหน้าอย่างน้อยหนึ่งช่วง TTL เดิม เพื่อให้การเปลี่ยนมีผลเร็ว

ขั้นตอนที่ 7: ยกเลิกการมอบหมาย

ทำตามลำดับนี้เพื่อไม่ให้ซับโดเมนหายระหว่างทาง

1. เพิ่มระเบียนที่จำเป็นทั้งหมดของซับโดเมนกลับเข้าโดเมนหลักก่อน แต่ยังไม่ลบ NS
2. ลด TTL ของ NS ลงเหลือ 300 แล้วรอ
3. ลบระเบียน NS ออก
4. ตรวจว่าคำตอบมาจากโดเมนหลักแล้ว

dig api.example.com +short
dig api.example.com NS +short   # ต้องไม่มีผลลัพธ์แล้ว

ปัญหาที่พบบ่อย

ซับโดเมนหายทันทีหลังมอบหมาย

DNS ปลายทางยังไม่มีโซนของซับโดเมนนั้น ตรวจด้วยการถามตรงไปที่เซิร์ฟเวอร์นั้น หากไม่ตอบ ให้สร้างโซนก่อนแล้วค่อยมอบหมาย

คำตอบไม่คงที่ บางครั้งได้บางครั้งไม่ได้

มีระเบียนขัดแย้งกันในโดเมนหลัก เช่น มีทั้ง NS และ A ของชื่อเดียวกัน ให้เหลือเฉพาะ NS

Resolver บางตัวไม่ตามไปยังซับโดเมน

ชื่อ DNS Server ที่ระบุใน NS ค้นหา IP ไม่ได้ ตรวจด้วย dig +short ns1.provider.net ต้องได้ IP กลับมา

อีเมลของซับโดเมนไม่ทำงาน

หลังมอบหมาย ระเบียน MX ของซับโดเมนต้องไปตั้งที่ DNS ปลายทาง ไม่ใช่ที่โดเมนหลักอีกต่อไป ตรวจว่าย้ายมาครบทุกระเบียน

ต้องการที่ปรึกษาด้านการออกแบบโครงสร้าง DNS ขององค์กร ติดต่อ THAI DATA CLOUD ได้ที่ https://thaidata.cloud/contact/

สรุปขั้นตอน NS Record

ทบทวน NS Record ทั้งหมดตามลำดับ ก่อนนำไปใช้กับระบบจริง

1. เตรียมโซนที่ปลายทางก่อน
2. เพิ่ม NS Record ในโดเมนหลัก
3. เพิ่ม Glue Record เมื่อจำเป็น
4. ตรวจสอบการมอบหมาย
5. กรณีใช้งานจริง
6. ตั้ง TTL ให้เหมาะสม
7. ยกเลิกการมอบหมาย

เมื่อทำครบทุกข้อแล้ว NS Record จะพร้อมใช้งาน หากผลลัพธ์ไม่เป็นไปตามที่คาด ให้ย้อนกลับไปดูหัวข้อปัญหาที่พบบ่อยด้านบน ซึ่งรวบรวมกรณีที่พบจริงจากการใช้งาน NS Record ไว้แล้ว

อ่านเพิ่มเติมเกี่ยวกับ NS Record

• เอกสาร DNS ของ Cloudflare
• เปิด DNSSEC ให้โดเมนเพื่อป้องกันการปลอมแปลง DNS
• คู่มือการใช้งานทั้งหมดของ THAI DATA CLOUD