Check-Host.cc

CNAME (Canonical Name) zapis funkcionira kao alias na razini domene. Umjesto da ime hosta razriješi izravno u IP adresu, CNAME upućuje DNS resolver da je odredište neko drugo domensko ime. Kada resolver naiđe na CNAME, ponovno pokreće cijeli slijed razrješavanja, upitujući novu kanoničku domenu sve dok se ona naposljetku ne razriješi u završni A ili AAAA zapis. To intenzivno koriste programeri koji integriraju SaaS platforme trećih strana, mreže za isporuku sadržaja (CDN) ili PaaS okruženja poput Vercela i Herokua, gdje statičke dodjele IP adresa nisu zajamčene, a infrastruktura se često mijenja.

Ograničenje na apex domeni (RFC 1034)

Jedno od najstrožih pravila u DNS arhitekturi, definirano u RFC 1034, nalaže da CNAME zapis ne može postojati na istom čvoru zajedno s bilo kojim drugim tipom zapisa. Budući da korijenski apex domene (npr. example.com) matematički mora sadržavati SOA (Start of Authority) i NS (Name Server) zapise da bi funkcionirao, nemoguće je postaviti standardni CNAME u korijen. Pokušate li to, zona se lomi, uzrokujući katastrofalne kvarove pošte (MX) i usmjeravanja. Kako bi zaobišli to ograničenje, moderni upravljani DNS pružatelji (poput Cloudflare, AWS Route 53 i DNSimple) razvili su vlastite pseudo-zapise "CNAME Flattening" ili "ALIAS". Ti sustavi interno razrješavaju odredište CNAME-a na strani poslužitelja i klijentu koji šalje upit isporučuju sintetički A zapis, održavajući strogu usklađenost s RFC-om.

Preuzimanja poddomena i viseći zapisi

CNAME zapisi uvode ozbiljan sigurnosni vektor poznat kao preuzimanje poddomene (Subdomain Takeover). To se događa kada administrator stvori CNAME koji poddomenu (npr. docs.example.com) usmjerava na uslugu treće strane poput GitHub Pages ili Zendesk krajnje točke. Ako tvrtka kasnije izbriše svoj Zendesk račun, ali zaboravi ukloniti CNAME zapis iz svoje DNS zone, alias postaje "viseći". Zlonamjerni akter tada može registrirati tu napuštenu krajnju točku kod pružatelja treće strane i trenutačno preuzeti potpunu kontrolu nad pouzdanom poddomenom, omogućujući phishing napade i krađu kolačića. Redovita revizija CNAME lanaca obavezna je sigurnosna praksa.

Kazne pri razrješavanju i beskonačne petlje

Ulančavanje aliasa (npr. usmjeravanje Aliasa A na Alias B, koji pokazuje na Alias C) donosi znatan gubitak performansi. Svaki skok zahtijeva da klijent izvede dodatnu DNS provjeru, dodajući mjerljive milisekunde vremenu do prvog bajta (TTFB). Nadalje, neispravne konfiguracije lako mogu stvoriti beskonačne petlje usmjeravanja, uzrokujući da resolver prekine razrješavanje i vrati NXDOMAIN pogrešku. Globalna provjera strukture vaših aliasa jamči učinkovito, izravno usmjeravanje.