使用 Amazon Route53 的白标 DNS

Question 1

我已经这样做了，在你实际执行此操作之前，请先阅读我的文章：

http://neonos.net/white-labeled-dns-name-servers-on-amazon-route-53-with-delegation-sets/

亚马逊于 2014 年 11 月对此功能进行了编程，但尚未在基于 Web 的控制台中实现，希望他们能尽快实现。我也没有找到有关此主题的文档或任何文章。但我能够通过使用AWS CLI 客户端，如下：

aws route53 create-reusable-delegation-set  --caller-reference MyDelegationSet

这将返回如下内容：

{
    "Location": "https://route53.amazonaws.com/2015-01-01/delegationset/xxx",
    "DelegationSet": {
        "NameServers": [
            "ns-xxx.awsdns-xx.com",
            "ns-xxx.awsdns-xx.co.uk",
            "ns-xxx.awsdns-xx.org",
            "ns-xxx.awsdns-xx.net"
        ],
        "CallerReference": "MyDelegationSet",
        "Id": "/delegationset/XXXXXXXXXX"
    }
}

创建可重用委派集后，您需要创建托管区域使用 CLI 客户端，它将允许您将新区域与上面创建的委派集关联起来。

aws route53  create-hosted-zone --delegation-set-id /delegationset/XXXXXXXX --name mydomain.tld --caller-reference UNIQUEREFERENCEID

使用输出中找到的名称服务器列表，ping 每个服务器以获取 IP 地址。使用 IP 地址在父区域中创建胶水记录（使用 A 记录）。我建议使用较短的 TTL，以防 Amazon 通知 DNS 区域的 IP 更改。我把我的命名为 route531.mydomain.com、route532... 等等。

现在在注册商处更新您的域名服务器，然后更新您的 Route53 以将这些名称服务器也包含为权威名称服务器。

更多信息：

亚马逊声称，这样做可以给这些名称服务器贴上白色标签，而无需任何进一步的参考。

“此功能还使您能够创建“白标”名称服务器地址，例如 ns1.example.com、ns2.example.com 等，您可以将这些地址指向您的 Route 53 名称服务器。然后，您可以将“白标”名称服务器地址用作任意数量的域名的权威名称服务器。”——SeanM@AWS

https://forums.aws.amazon.com/ann.jspa?annID=2733

问题是亚马逊还表示他们不能保证名称服务器的 IP 不会改变。

https://forums.aws.amazon.com/thread.jspa?messageID=474708

“我们确实保证您的 Route 53 名称服务器的 DNS 名称不会改变，但我们无法对其 IP 地址做出同样的保证。如果它们将来发生变化，如果您以这种不受支持的方式使用它们，您的 DNS 可能会悄无声息地中断。”——DavidR@AWS 2011 年 1 月 25 日

在你惊慌失措之前，这可能会让你感觉好一些：

有些注册商只允许您使用 IP 地址指定名称服务器；它们不允许您指定完全限定域名。如果您的注册商要求使用 IP 地址，您可以使用 dig 实用程序（适用于 Mac、Unix 或 Linux）或 nslookup 实用程序（适用于 Windows）获取名称服务器的 IP 地址。我们很少更改名称服务器的 IP 地址；如果需要更改 IP 地址，我们会提前通知您。 http://docs.aws.amazon.com/Route53/latest/DeveloperGuide/SOA-NSrecords.html

请记住，为每个名称服务器创建具有自己的域的 CNAME 记录是一个坏主意，尽管这在理论上可以解决 IP 更改问题，但这是一个坏主意：

指向 CNAME 的 NS 记录是不好的，可能会与当前的 BIND 服务器严重冲突。事实上，当前的 BIND 实现将忽略此类记录，可能会导致授权不充分。BIND 中进行了一定程度的安全检查，以防止欺骗 DNS NS 记录。此外，据报道，较旧的 BIND 服务器将陷入无限查询循环，试图找出别名名称服务器的地址，从而导致发送连续的 DNS 请求流。--RFC1912

http://www.faqs.org/rfcs/rfc1912.html

Answer