Hầu hết chủ doanh nghiệp chỉ nghe tới DNS vào đúng ngày có sự cố: website không vào được sau khi đổi hosting, email khách gửi bị trả về, hoặc đơn vị làm web nhắn "anh vào trỏ tên miền giúp em". Bài này giải thích DNS vừa đủ để bạn hiểu mình đang sửa gì, làm được việc trỏ tên miền cơ bản, và biết khi nào nên dừng lại hỏi người làm kỹ thuật.
Nếu bạn chưa rõ tên miền là gì và ai nên đứng tên tên miền, nên đọc bài nền trước rồi quay lại đây.
DNS là gì
Máy tính kết nối với nhau bằng địa chỉ IP, còn con người nhớ tên. DNS là hệ thống đứng giữa, dịch tên miền thành địa chỉ IP. Cách so sánh dễ nhớ nhất là danh bạ điện thoại: bạn tìm tên "Công ty A" và danh bạ trả về số điện thoại. Khác danh bạ ở chỗ DNS không nằm ở một nơi, mà được chia thành nhiều tầng do nhiều tổ chức cùng vận hành trên khắp thế giới.
Hệ thống tên miền DNS có chức năng gì? Có ba chức năng chính mà doanh nghiệp dùng hằng ngày dù không để ý:
- Chỉ đường cho website: tên miền và các tên miền phụ trỏ tới máy chủ nào.
- Chỉ đường cho email: thư gửi tới địa chỉ @tencongty.vn được chuyển tới hệ thống thư nào.
- Xác minh và chứng thực: chứng minh bạn sở hữu tên miền khi kết nối với các dịch vụ bên ngoài (công cụ quản trị tìm kiếm, dịch vụ email, nền tảng quảng cáo), và khai báo máy chủ nào được phép gửi thư nhân danh tên miền.
Như vậy DNS không chỉ là chuyện website. Với một doanh nghiệp đang dùng email tên miền, một bản ghi sai có thể làm hộp thư ngừng nhận thư trong khi website vẫn chạy bình thường, và ngược lại.
Hệ thống phân giải tên miền hoạt động thế nào
Khi một nhân viên gõ tencongty.vn vào trình duyệt, quá trình phân giải diễn ra như sau, thường chỉ trong vài phần trăm giây:
- Máy tính hỏi máy chủ DNS mà nó đang dùng (thường do nhà mạng hoặc bộ định tuyến cấp, gọi là máy chủ phân giải).
- Nếu máy chủ phân giải đã có câu trả lời trong bộ nhớ đệm và câu trả lời chưa hết hạn, nó trả về ngay.
- Nếu chưa, nó hỏi lần lượt: máy chủ gốc chỉ tới máy chủ quản lý đuôi .vn, máy chủ của đuôi .vn chỉ tới máy chủ tên (nameserver) đang quản lý tencongty.vn.
- Máy chủ tên của tencongty.vn trả về bản ghi chứa địa chỉ IP của website.
- Máy chủ phân giải lưu câu trả lời trong một khoảng thời gian (TTL) và trả về cho máy tính, trình duyệt kết nối tới địa chỉ đó.
Điểm quan trọng rút ra: nơi bạn sửa bản ghi DNS là nơi đang giữ máy chủ tên của tên miền. Đó có thể là nhà đăng ký tên miền, nhà cung cấp hosting, hoặc một dịch vụ DNS riêng. Rất nhiều lần sửa DNS "không có tác dụng" chỉ vì người sửa đang sửa ở một nơi mà tên miền không còn dùng máy chủ tên của nơi đó.
Các loại bản ghi DNS cần biết
Một vùng DNS (zone) của tên miền là tập hợp các bản ghi. Doanh nghiệp thường chỉ cần hiểu sáu loại:
- A: trỏ một tên tới một địa chỉ IPv4. Đây là bản ghi dùng nhiều nhất khi trỏ tên miền về host.
- AAAA: như A nhưng cho địa chỉ IPv6.
- CNAME: trỏ một tên tới một tên khác, ví dụ www trỏ tới tencongty.vn, hoặc shop trỏ tới địa chỉ do nền tảng bán hàng cấp. Không đặt CNAME cho tên miền gốc (phần không có tiền tố) ở phần lớn hệ thống DNS.
- MX: chỉ máy chủ nhận thư cho tên miền. Sai bản ghi này là mất email.
- TXT: chứa đoạn văn bản, dùng để xác minh quyền sở hữu tên miền và khai báo chính sách gửi thư (SPF, DKIM, DMARC).
- NS: khai báo máy chủ tên nào quản lý tên miền. Thường chỉnh ở nhà đăng ký, không chỉnh trong vùng DNS.
TTL: vì sao sửa rồi mà chưa thấy thay đổi
TTL (time to live) là thời gian một câu trả lời DNS được phép lưu trong bộ nhớ đệm, tính bằng giây. TTL 3600 nghĩa là máy chủ phân giải có thể dùng lại câu trả lời cũ tới một giờ. Vì vậy sau khi sửa bản ghi, có người thấy địa chỉ mới ngay, có người vẫn thấy địa chỉ cũ một lúc. Khi đổi máy chủ tên, thời gian cập nhật có thể lâu hơn, có khi tới một hai ngày, vì bản ghi NS ở cấp đuôi tên miền thường có TTL dài.
Mẹo của người làm vận hành: nếu biết trước sắp chuyển máy chủ, hạ TTL của bản ghi liên quan xuống thấp (ví dụ 300 giây) từ một ngày trước. Tới lúc chuyển, thay đổi lan ra nhanh; chuyển xong và ổn định thì nâng TTL lên lại.
Cách trỏ tên miền về host từng bước
Có hai cách trỏ tên miền về host. Chọn cách nào tuỳ việc bạn muốn giữ DNS ở đâu.
Cách 1: sửa bản ghi A (giữ nguyên máy chủ tên)
Đây là cách an toàn nhất cho doanh nghiệp đang có email tên miền chạy ổn, vì chỉ đụng tới bản ghi của website:
- Lấy địa chỉ IP của hosting mới. Nhà cung cấp hosting ghi trong email bàn giao hoặc trong trang quản trị.
- Đăng nhập nơi đang quản lý DNS của tên miền (xem mục kiểm tra máy chủ tên ở trên).
- Chụp lại hoặc xuất toàn bộ bản ghi hiện có trước khi sửa. Đây là bước hay bị bỏ qua nhất và cũng là bước cứu bạn khi có sai sót.
- Sửa bản ghi A của tên miền gốc (thường ký hiệu @) sang IP mới.
- Sửa hoặc tạo bản ghi cho www: CNAME trỏ về tên miền gốc, hoặc bản ghi A cùng IP.
- Không chạm vào bản ghi MX và TXT của email.
- Chờ theo TTL, kiểm tra bằng công cụ tra DNS ở vài vị trí khác nhau, rồi mở website ở chế độ ẩn danh.
- Cài chứng chỉ SSL trên hosting mới sau khi tên miền đã trỏ đúng, vì nhiều hệ thống cấp chứng chỉ tự động cần tên miền trỏ về máy chủ trước.
Cách 2: đổi máy chủ tên sang nhà cung cấp hosting
Một số nhà cung cấp hosting đề nghị đổi máy chủ tên của tên miền sang máy chủ tên của họ, để họ quản lý toàn bộ DNS. Cách này tiện cho người không muốn đụng tới DNS, nhưng có một cái bẫy: khi đổi máy chủ tên, toàn bộ vùng DNS cũ bị bỏ qua. Nếu vùng DNS mới chưa có bản ghi MX, TXT của email, email ngừng hoạt động ngay khi thay đổi có hiệu lực.
Quy trình an toàn: chép toàn bộ bản ghi cũ sang vùng DNS mới trước, đối chiếu từng dòng, rồi mới đổi máy chủ tên ở nhà đăng ký. Với doanh nghiệp có nhiều dịch vụ gắn với tên miền, chúng tôi thường khuyên giữ DNS ở một nơi độc lập với hosting. Như vậy đổi hosting chỉ là sửa một hai bản ghi, còn email và các dịch vụ khác không bị kéo theo.
Trỏ tên miền phụ và trỏ hai tên miền về một host
- Tên miền phụ (subdomain): tạo bản ghi A với tên là phần tiền tố (ví dụ shop) và giá trị là IP của máy chủ chứa trang đó. Nếu nền tảng cấp địa chỉ dạng tên, dùng CNAME.
- Hai tên miền về một host: trỏ cả hai về cùng IP, nhưng trên website chỉ chọn một tên làm địa chỉ chính và chuyển hướng 301 tên còn lại về. Để hai tên cùng hiện một nội dung sẽ tạo nội dung trùng lặp trong mắt công cụ tìm kiếm.
- Không cần mua hosting riêng cho mỗi tên miền phụ: nhiều tên miền phụ có thể chạy chung một máy chủ nếu máy chủ được cấu hình nhận các tên đó.
Bản ghi DNS cho email: phần hay bị làm hỏng
Email tên miền cần ba nhóm bản ghi. Thiếu nhóm nào, thư có thể vẫn gửi được nhưng dễ bị xếp vào thư rác hoặc bị từ chối:
- MX: chỉ nơi nhận thư. Giá trị do nhà cung cấp email đưa, thường có nhiều dòng với mức ưu tiên khác nhau. Nhập đủ tất cả các dòng.
- SPF (bản ghi TXT): liệt kê các hệ thống được phép gửi thư nhân danh tên miền. Mỗi tên miền chỉ có một bản ghi SPF; khi thêm dịch vụ gửi thư mới, gộp vào bản ghi đang có thay vì tạo bản ghi thứ hai.
- DKIM (bản ghi TXT hoặc CNAME): chữ ký số chứng minh thư không bị sửa trên đường đi.
- DMARC (bản ghi TXT): chính sách xử lý thư giả mạo tên miền của bạn và nơi nhận báo cáo. Nên bắt đầu ở chế độ chỉ theo dõi rồi siết dần.
Một lỗi thực tế hay gặp: doanh nghiệp dùng thêm một công cụ gửi email marketing, công cụ yêu cầu thêm bản ghi SPF, người phụ trách tạo bản ghi SPF thứ hai. Hai bản ghi SPF cùng tồn tại làm SPF bị coi là không hợp lệ và thư của cả công ty dễ vào thư rác hơn.
DNS và bảo mật: vài việc đáng làm
- Tài khoản quản lý DNS phải có xác thực hai lớp. Kẻ chiếm được tài khoản này có thể trỏ website về trang giả mạo hoặc chuyển hướng email mà website của bạn không hề bị tấn công.
- Giới hạn số người có quyền sửa DNS. Đơn vị làm web cần quyền thì cấp quyền riêng, có thể thu hồi.
- Rà định kỳ các bản ghi trỏ tới dịch vụ đã ngừng dùng. Một tên miền phụ còn trỏ về dịch vụ bên ngoài đã huỷ có thể bị người khác chiếm lại địa chỉ đích và dùng tên miền phụ của bạn.
- Cân nhắc DNSSEC nếu nhà quản lý DNS và đuôi tên miền hỗ trợ: nó chống việc giả mạo câu trả lời DNS.
Kinh nghiệm vận hành: DNS đứng trước máy chủ
Alodev tự vận hành hạ tầng riêng cho các sản phẩm của mình: một cụm máy chủ ảo hoá nhiều node, các ứng dụng chạy trong container, và lưu lượng từ Internet đi vào qua đường hầm (tunnel) của một dịch vụ mạng phân phối thay vì mở cổng trực tiếp trên máy chủ. Cách bố trí này làm DNS trở thành điểm điều khiển trung tâm: tên miền không trỏ thẳng về địa chỉ máy chủ, mà trỏ về mạng phân phối, rồi mạng phân phối chuyển vào đúng ứng dụng bên trong.
Hai bài học rút ra khi làm theo cách này:
- Địa chỉ máy chủ không lộ ra qua DNS, bớt được một lớp rủi ro bị tấn công trực tiếp vào máy chủ. Nhưng đổi lại, mọi thay đổi tên miền, tên miền phụ phải có người chịu trách nhiệm duyệt, vì tạo một tên miền phụ lúc này là mở thêm một cửa vào hệ thống.
- Khi website không vào được, cần kiểm tra theo thứ tự từ ngoài vào: tên miền còn hạn không, DNS trả về đúng chưa, đường hầm còn kết nối không, rồi mới tới ứng dụng. Kiểm tra theo thứ tự giúp tìm ra chỗ hỏng trong vài phút thay vì đoán mò ở máy chủ.
Doanh nghiệp không cần tự dựng hạ tầng như vậy. Nhưng tư duy thì dùng được: coi DNS là tài sản cần quản trị, có sổ ghi chép, có người duyệt thay đổi, có bản sao cấu hình.
Bảng kiểm trước khi sửa DNS
- Xác định máy chủ tên đang dùng, sửa đúng nơi.
- Xuất hoặc chụp lại toàn bộ bản ghi hiện có.
- Biết rõ mình sửa bản ghi nào, vì sao; không xoá bản ghi mình không hiểu.
- Không đụng MX, SPF, DKIM, DMARC nếu việc đang làm chỉ liên quan tới website.
- Hạ TTL trước nếu sắp chuyển máy chủ.
- Sau khi sửa: kiểm tra website, gửi thử và nhận thử email, kiểm tra chứng chỉ SSL.
- Ghi lại thay đổi: ngày, người sửa, giá trị cũ, giá trị mới.
Câu hỏi thường gặp
DNS là gì, nói đơn giản?
DNS là danh bạ của Internet, dịch tên miền dễ nhớ thành địa chỉ IP của máy chủ. Nó cũng chỉ đường cho email và dùng để xác minh quyền sở hữu tên miền.
Hệ thống tên miền DNS có chức năng gì với doanh nghiệp?
Ba chức năng: đưa khách tới đúng máy chủ website, đưa thư tới đúng hệ thống email, và chứng thực tên miền với các dịch vụ bên ngoài cũng như với hệ thống lọc thư rác.
Trỏ tên miền về host mất bao lâu?
Sửa bản ghi A thường có hiệu lực trong vài phút tới vài giờ tuỳ TTL. Đổi máy chủ tên có thể mất tới một hai ngày để lan ra toàn bộ Internet.
Đổi hosting có phải đổi DNS không?
Có, ít nhất phải sửa bản ghi A trỏ về IP của hosting mới. Nếu giữ DNS ở nơi độc lập với hosting, đổi hosting chỉ là sửa một hai bản ghi và email không bị ảnh hưởng.
Vì sao trỏ tên miền xong website vẫn không vào được?
Các nguyên nhân hay gặp: sửa ở nơi không phải máy chủ tên đang dùng, bộ nhớ đệm DNS chưa hết hạn, hosting chưa được cấu hình nhận tên miền đó, hoặc chứng chỉ SSL chưa được cấp cho tên miền.
