מה זה DNS, ספר הטלפונים של האינטרנט

כשאתם מקלידים כתובת בדפדפן, המחשב קודם שואל: ״מה כתובת ה-IP של הדומיין הזה?״. השאלה עוברת לשרת DNS מתרגם, בדרך כלל של ספק האינטרנט או שירות כמו של Google או Cloudflare. אם התשובה לא שמורה אצלו, הוא מתחיל מסע קצר: שואל את שרתי השורש איפה מנהלים את הסיומת, למשל il, משם עובר לשרתים שמנהלים את co.il, ומשם לשרתי השמות של הדומיין שלכם, שנותנים את התשובה הסופית.

התשובה נשמרת בזיכרון, במטמון, לזמן מוגדר. כך בפעם הבאה אין צורך במסע כולו. כל זה לוקח אלפיות שנייה, ולכן לא מרגישים אותו, עד שמשהו לא מוגדר נכון.

לכל דומיין מוגדרים שרתי שמות, Nameservers. הם המקום שבו מנוהלות הרשומות של הדומיין. ההגדרה של שרתי השמות נעשית אצל רשם הדומיין, והרשומות עצמן מנוהלות אצל מי ששרתי השמות שלו מוגדרים: חברת האחסון, הרשם, או שירות כמו Cloudflare.

זו נקודת הבלבול הכי נפוצה. אם שרתי השמות מצביעים ל-Cloudflare, אין טעם לערוך רשומות בלוח הבקרה של האחסון, השינויים פשוט לא יחולו. תמיד בודקים קודם איפה מנוהל ה-DNS, ורק אחר כך עורכים.

רשומת A ו-AAAA

רשומת A מקשרת שם לכתובת IPv4, ו-AAAA לכתובת IPv6. זו הרשומה שאומרת ״האתר יושב בשרת הזה״. כשמעבירים אחסון, בדרך כלל זו הרשומה שמשתנה.

CNAME

רשומה שמפנה שם אחד לשם אחר, למשל www שמפנה לדומיין הראשי, או תת דומיין שמפנה לשירות חיצוני. CNAME לא אמורה להיות על שורש הדומיין עצמו אצל רוב הספקים, ולכן שם משתמשים ב-A או בפתרונות מיוחדים של הספק.

MX

רשומות שקובעות לאן נשלח מייל של הדומיין. אם המייל שלכם אצל Google Workspace או Microsoft 365, רשומות ה-MX מצביעות אליהם. טעות כאן היא הסיבה הנפוצה למייל שפתאום לא מגיע אחרי העברת אחסון. על כך במייל עם דומיין.

TXT

רשומות טקסט שמשמשות לאימות ולהגדרות: אימות בעלות מול Google Search Console, והגדרות אבטחת מייל כמו SPF, DKIM ו-DMARC.

NS

רשומות שמגדירות את שרתי השמות של הדומיין או של תת דומיין שמנוהל במקום אחר.

לכל רשומה יש TTL, Time To Live, שקובע כמה זמן שרתים ומכשירים רשאים לשמור את התשובה במטמון. אם ה-TTL הוא שעה, מכשיר ששאל לפני עשר דקות ימשיך להשתמש בתשובה הישנה עוד חמישים דקות. זה מה שנקרא ״התפשטות״: לא שהשינוי זוחל ברחבי העולם, אלא שמטמונים ישנים פגים בהדרגה.

הטריק המקצועי: יום או יומיים לפני העברת אחסון, מורידים את ה-TTL של הרשומות הרלוונטיות לערך נמוך. כשמגיע רגע ההחלפה, השינוי יחול אצל רוב הגולשים מהר. אחרי שהכל יציב, מחזירים TTL גבוה יותר. שינוי שרתי שמות, לעומת זאת, יכול לקחת יותר זמן, כי הוא תלוי גם במטמון של שרתי הסיומת.

על תהליך ההעברה עצמו כתבתי מדריך מעשי, איך מעבירים אתר בין שרתים.

בהגדרות של טלפוני אנדרואיד מופיעה אפשרות בשם DNS פרטי, ובאייפון יש אפשרויות דומות דרך פרופילים ואפליקציות. מדובר בחיבור מוצפן לשרת DNS, בטכנולוגיות כמו DNS over TLS או DNS over HTTPS, כך שספק האינטרנט או רשת ה-WiFi לא רואים ולא יכולים לשנות בקלות את שאילתות ה-DNS שלכם.

מתי זה רלוונטי? כשמתחברים לרשתות ציבוריות, או כשרוצים להשתמש בשירות DNS שמסנן אתרים זדוניים. מתי זה עושה בעיות? ברשתות של מלונות ועבודה שדורשות דף התחברות, או כשהשרת שהוגדר לא זמין. אם פתאום שום אתר לא נפתח בטלפון, אחד הדברים הראשונים לבדוק הוא אם הוגדר DNS פרטי שלא עובד.

• האתר נפתח אצלכם ולא אצל אחרים, או להפך. לרוב מטמון ישן. בודקים עם כלי בדיקת DNS ממיקומים שונים.
• מייל הפסיק להגיע אחרי העברת אחסון. רשומות MX נמחקו או לא הועתקו לספק ה-DNS החדש.
• הודעת DNS_PROBE או ״לא ניתן למצוא את השרת״. הדומיין לא מצביע לשום מקום, פג תוקף, או שיש בעיה ב-DNS של הרשת.
• עריכות לא משפיעות. עורכים במקום הלא נכון, כי שרתי השמות מצביעים לספק אחר.
• אימות Search Console נכשל. רשומת TXT לא נוספה במקום הנכון, או שעוד לא התפשטה.

לפני כל שינוי גדול, צלמו או ייצאו את כל רשומות ה-DNS הקיימות. זה לוקח דקה, וזה ההבדל בין שחזור מהיר לבין שעות של ניחושים איפה היה ה-MX ומה היה ה-TXT של האימות.

זמן תשובת ה-DNS הוא חלק קטן מזמן הטעינה הכולל, בעיקר בביקור ראשון. ספקי DNS מהירים עם שרתים רבים בעולם, וגם באזור שלנו, מקצרים את השלב הזה. אבל אל תצפו לנסים: DNS מהיר לא יציל אתר עם שרת איטי. על מה באמת משפיע על מהירות כתבתי במה זה אחסון אתרים, ובמיוחד על מיקום השרת לקהל ישראלי.

הרבה בעלי אתרים מגלים שה-DNS שלהם הוא לא רק ״לאן האתר מצביע״, אלא גם תעודת הזהות של המייל. שלוש רשומות TXT עושות כאן את העבודה: SPF מפרטת אילו שרתים מורשים לשלוח מייל בשם הדומיין, DKIM מפרסמת מפתח שמאפשר לאמת חתימה דיגיטלית על ההודעות, ו-DMARC אומרת מה לעשות כשמייל לא עובר את הבדיקות.

בלי הרשומות האלה, המיילים שלכם נוטים יותר להגיע לספאם, וקל יותר להתחזות לדומיין. כשמעבירים DNS לספק חדש, אלה בדיוק הרשומות שנשכחות. הרחבתי על ההגדרות במייל עם דומיין.

• רשומת SPF אחת בלבד לדומיין, שכוללת את כל השולחים.
• DKIM מופעל אצל ספק המייל, והרשומה שלו מתווספת ל-DNS.
• DMARC מתחיל במצב דיווח ומוחמר בהדרגה.

DNSSEC מוסיף חתימות קריפטוגרפיות לרשומות DNS, כדי ששרת מתרגם יוכל לוודא שהתשובה לא זויפה בדרך. הוא מגן מפני סוג מסוים של התקפות, שבהן מישהו מנסה להחדיר תשובה שקרית שתפנה גולשים לשרת אחר.

האם כדאי להפעיל? לאתרים רגישים, כמו מוסדות פיננסיים או חנויות גדולות, זה צעד הגיוני. לאתרים קטנים זה נחמד אבל לא קריטי. חשוב לדעת שהפעלה לא נכונה, או שכחה לכבות DNSSEC לפני העברת DNS לספק אחר, יכולה להפיל את הדומיין כולו. אם אתם מפעילים, עשו זאת אצל ספק שמנהל את זה אוטומטית, ותזכרו את זה ביום שתעבירו ספק.

Cloudflare וחלק מהרשמים מאפשרים להפעיל DNSSEC בכמה לחיצות. הסדר חשוב: כשעוברים ספק DNS, מכבים את DNSSEC אצל הרשם, ממתינים, מעבירים, ורק אז מפעילים מחדש.

• אצל חברת האחסון: נוח, הכל במקום אחד, אבל העברת אחסון דורשת להעתיק את כל הרשומות.
• אצל רשם הדומיין: יציב, לא תלוי באחסון, אבל הממשק לפעמים בסיסי.
• אצל Cloudflare או ספק DNS ייעודי: מהיר, ממשק טוב, יכולות נוספות כמו CDN והגנה, ולא תלוי באחסון.

ההעדפה שלי, לרוב האתרים שמתכוונים להחזיק לאורך זמן: לנהל את ה-DNS במקום שלא תלוי בחברת האחסון. כך העברת אחסון היא רק שינוי של רשומת A, ולא פרויקט של העתקת רשומות. אם בוחרים Cloudflare, כדאי לקרוא גם את מה זה CDN, כי ברירת המחדל שם היא להעביר גם את התנועה דרכה.

וכל מקום שבוחרים, תעדו. קובץ פשוט עם רשימת הרשומות, מה כל אחת עושה ומי הוסיף אותה, חוסך שעות בעתיד.

• כלי בדיקה מקוונים שמראים איך הדומיין נפתר ממקומות שונים בעולם, שימושיים לבדוק התפשטות.
• הפקודה nslookup במחשב, או dig במערכות לינוקס ו-Mac, לבדיקת רשומה ספציפית.
• בדיקת MX ורשומות מייל בכלים ייעודיים למייל, שמתריעים על SPF שגוי.
• ניקוי מטמון DNS מקומי במחשב או בדפדפן, כשאתם עדיין רואים את השרת הישן.

כשמשהו לא עובד, סדר הבדיקה שלי קבוע: קודם בודקים לאן מצביעים שרתי השמות, אחר כך את הרשומה עצמה אצל הספק הנכון, אחר כך מה עונים שרתים חיצוניים, ורק בסוף חושדים במטמון המקומי. רוב הבעיות נפתרות כבר בשלב הראשון או השני.