O que é um registro SOA? Autoridade da zona DNS explicada

SOA significa Start of Authority (início de autoridade). Um registro SOA é um registro DNS obrigatório no apex de uma zona que traz informações administrativas e de temporização sobre ela. Ele identifica o nome de um servidor de nomes primário, um campo do responsável, um número de série e vários temporizadores usados pelos servidores autoritativos secundários. Ele não retorna o endereço IP de um site e não é um certificado geral de status. Administradores e ferramentas de diagnóstico inspecionam os dados do SOA para entender como uma zona é versionada e como os servidores secundários sabem quando verificar atualizações. Seus valores são metadados operacionais que precisam estar de acordo com o modelo de gestão do provedor de DNS.

Os campos de um registro SOA

Um registro SOA típico contém um MNAME, que nomeia o servidor-fonte primário no modelo da zona, e um RNAME, que codifica as informações de contato do administrador da zona. Contém também um número de série, um intervalo de refresh, um intervalo de retry, um intervalo de expire e o valor de TTL do cache negativo. A exibição exata varia conforme a ferramenta, e o DNS gerenciado por um provedor pode abstrair alguns campos ou mantê-los automaticamente. O RNAME usa a sintaxe do DNS em vez da grafia normal de um e-mail; tradicionalmente, o primeiro ponto sem escape representa o arroba. A maioria dos usuários não precisa editar esse registro manualmente, mas ele pode ser útil na investigação de uma delegação ou de uma sincronização.

O número de série é o valor operacional mais comentado. No DNS tradicional primário-secundário, um servidor secundário compara o seu número de série com o do primário e solicita uma atualização quando a versão do primário é mais nova. O número de série não é necessariamente uma data e não deve ser interpretado como um carimbo de data e hora universal. Os provedores modernos podem distribuir as atualizações de zona por planos de controle proprietários, mas o número de série visível do SOA ainda pode ajudar a determinar se diferentes servidores autoritativos parecem ter a mesma versão. Se os números de série forem diferentes, considere a propagação esperada dentro do provedor e confirme o comportamento documentado por ele antes de concluir que a replicação está quebrada.

O SOA e o cache negativo

O SOA também participa do cache negativo: por quanto tempo um resolvedor pode reter a informação de que um nome ou um registro solicitado estava ausente. A duração efetiva exata do cache negativo segue os padrões do DNS e os campos do SOA, mas o comportamento do resolvedor e a apresentação do provedor podem complicar o que os usuários veem. Esse é um dos motivos de registros recém-criados poderem não aparecer imediatamente, mesmo com a zona configurada corretamente. Uma resposta negativa anterior pode permanecer em cache por algum tempo. Repetir a consulta no mesmo resolvedor durante esse período pode mostrar a mesma ausência; consultar outro resolvedor ou verificar os dados autoritativos ajuda a distinguir o cache de um registro realmente ausente.

• Inspecione o SOA quando precisar de informações de autoridade ou de número de série no nível da zona.
• Use os registros NS para ver quais servidores de nomes estão delegados para um domínio.
• Use A e AAAA para perguntas de endereço; o SOA não é um registro de endereço.
• Compare os servidores autoritativos antes de presumir que uma diferença de número de série indica uma queda.
• Evite alterar campos do SOA gerenciados pelo provedor sem entender o efeito operacional deles.

Quando uma consulta de SOA é útil

Uma consulta de SOA pode ajudar no diagnóstico quando uma alteração de registro parece inconsistente entre os servidores autoritativos, quando uma zona foi transferida recentemente ou quando o cache negativo é relevante para um nome novo. Raramente é a primeira verificação em uma queda comum de site. Comece pelo nome de host afetado e pelo tipo de registro e só então inspecione a delegação e o SOA, se as evidências apontarem para um problema no nível da zona. Uma resposta de SOA não consegue confirmar que um site está acessível, que um servidor de e-mail aceita mensagens ou que todos os caches recursivos foram atualizados.

Para um mapa mais amplo dos dados de DNS, leia tipos de registro DNS explicados e, para a temporização do cache, veja o que significa o TTL de DNS. Uma consulta DNS focada pode mostrar as respostas públicas necessárias para uma comparação básica. Mantenha o SOA no seu papel certo: ele descreve a autoridade e a coordenação da zona, enquanto os registros de endereço, de e-mail e de política respondem a perguntas diferentes. Essa distinção torna o registro SOA muito mais compreensível do que tratar todo campo de DNS como um possível endereço de site.

Não edite valores do SOA por palpite

As plataformas de DNS gerenciado costumam gerar e manter automaticamente o número de série e os temporizadores do SOA. Um administrador que copia um número de série de outra zona ou reduz um campo de tempo sem entender o modelo do provedor pode criar confusão sem melhorar a propagação. Antes de editar os dados do SOA, consulte a documentação do provedor e verifique se ele permite o controle manual. Se um serviço de DNS secundário estiver envolvido, confirme que o fluxo de transferência e de refresh dele segue a configuração suportada. Para a maioria dos donos de sites, observar o SOA é mais útil do que alterá-lo: compare a autoridade, anote o número de série e pergunte ao provedor se os servidores dele convergiram. Guarde as evidências do incidente, mas deixe que o host de DNS gerencie os campos que fazem parte do sistema de sincronização dele, a menos que você opere deliberadamente o próprio DNS autoritativo.