Hva er DNS? Domenenavnsystemet forklart for bedrifter

DNS (Domain Name System, på norsk domenenavnsystemet) er internettets adressebok. Det oversetter et domenenavn som dittfirma.no til IP-adressen til serveren nettsiden ligger på, og forteller hvor e-posten skal leveres. For en bedrift avgjør DNS-innstillingene om nettside og e-post virker. Én feil der kan ta ned begge i løpet av minutter.

Hva er DNS, og hva betyr forkortelsen?

DNS står for Domain Name System, på norsk domenenavnsystemet. Det er systemet som gjør om et navn som dittfirma.no til en IP-adresse maskiner kan koble seg til, for eksempel 185.x.x.x. Uten DNS måtte kundene dine skrive inn tallrekker for å finne nettsiden din.

Den vanlige sammenligningen er en telefonkatalog, men for en bedrift passer «sentralbord» bedre. DNS bestemmer nemlig hvor alle henvendelser til domenet havner. Nettsiden kan ligge hos ett selskap, e-posten hos Microsoft eller Google, og nyhetsbrevet sendes fra en tredje tjeneste. Alt dette styres av DNS-postene på domenet. Selve domenet kjøper du gjennom en registrar. Hvordan det fungerer for .no, forklarer vi i guiden om norsk domene. DNS er laget oppå domenet, og det er der det meste av den praktiske styringen skjer.

Hvordan fungerer et DNS-oppslag?

Når noen skriver inn adressen din, spør maskinen en DNS-server om hvilken IP-adresse navnet hører til. Den serveren finner svaret ved å spørre seg nedover i et hierarki. Svaret lagres så en periode, slik at neste besøkende får det med en gang.

• Nettleseren sjekker først om svaret allerede ligger lagret lokalt på maskinen.
• Hvis ikke, går spørsmålet til en oppslagsserver (resolver). Det er som regel internettleverandørens, eller en offentlig som 1.1.1.1 eller 8.8.8.8.
• Oppslagsserveren spør en rotserver, som henviser til navnetjenerne for .no.
• Navnetjenerne for .no svarer med hvilke navnetjenere som har ansvaret for akkurat ditt domene. Det er Norid som driver navnetjenesten for .no-sonen, og den brukes av folk over hele verden når de slår opp norske domener.
• Den autoritative navnetjeneren for domenet ditt, hos webhotellet, registraren eller en DNS-tjeneste, gir det endelige svaret.
• Oppslagsserveren lagrer svaret så lenge TTL-verdien (time to live, levetid) sier, og sender det tilbake til nettleseren.

Det siste punktet er det som oftest gir hodebry. Når du endrer en DNS-post, er det ikke din endring som må «spre seg» utover nettet. Det er de gamle svarene som må gå ut på dato rundt om i oppslagsserverne. Hvor lenge det tar, styres av TTL-verdien som sto på posten før du endret den.

Hva er en DNS-server?

En DNS-server er en maskin som enten svarer på DNS-spørsmål på vegne av brukere (oppslagsserver) eller har det offisielle svaret for et domene (autoritativ navnetjener). Når noen spør om DNS-serveren sin, er det nesten alltid den første typen de mener. For bedriften din er det den andre som betyr noe.

Oppslagsserver: den brukerne dine spør

Oppslagsserveren står i nettverket til den som besøker deg, og du har ingen kontroll over den. Den kan være innstilt i ruteren, på mobilen eller i nettleseren. Feilmeldingen «DNS-serveren svarer ikke» handler om denne, og ikke om nettsiden din. Vanligvis hjelper det å starte ruteren på nytt eller bytte til en offentlig oppslagsserver.

Autoritativ navnetjener: der postene dine bor

Den autoritative navnetjeneren er der du eller leverandøren legger inn A-poster, MX-poster og så videre. For .no-domener stiller Norid tekniske krav. Hvert domene må ha minst to separate navnetjenere på fysisk adskilte maskiner, og NS- og MX-poster må peke til et ekte vertsnavn, ikke til et alias (CNAME). Norid kontrollerer domenene mot kravene både ved registrering og jevnlig etterpå. Brudd kan i verste fall føre til at domenet slettes. De fleste store leverandører oppfyller kravene uten at du merker det, men har du eller en tidligere IT-leverandør satt opp egne navnetjenere, er det verdt å sjekke.

Hvilke DNS-poster trenger en bedrift?

En vanlig SMB klarer seg med fem til seks posttyper. Tabellen viser hva hver gjør, og hva som skjer når den er feil. Det er nyttig å ha den foran seg når leverandøren ber deg «legge inn en post».

Én fallgruve verdt å merke seg: Mange plattformer for nettbutikk og nettsidebyggere ber deg legge inn en CNAME. Det går fint for www, men DNS-standarden tillater ikke CNAME på selve rotdomenet (dittfirma.no uten www) sammen med MX- og TXT-postene som må ligge der. Prøver du likevel, kan e-posten slutte å virke. Bruk A-posten plattformen oppgir, eller en ALIAS-/ANAME-post hvis DNS-leverandøren din har det.

Hvem styrer DNS-en din, og hva koster det?

Det er den som eier innloggingen til navnetjenerne som styrer DNS-en din. Det kan være registraren, webhotellet, et byrå eller en egen DNS-tjeneste. Selve DNS-tjenesten er nesten alltid inkludert i domeneabonnementet eller webhotellet. Den virkelige kostnaden ligger i tid og risiko når noe skal endres.

Det vi ser oftest, er at bedriften ikke vet hvor DNS-en ligger. Domenet ble kjøpt av en tidligere ansatt eller en nevø, eller ligger på en konto hos et byrå som ikke lenger finnes. Det blir et problem den dagen nettsiden skal flyttes eller e-posten byttes. Vi anbefaler at domene og DNS alltid står på bedriftens egen konto med bedriftens organisasjonsnummer. Gi heller leverandøren tilgang enn å la dem eie kontoen. Det samme gjelder om du vurderer et nytt navn via oversikten over ledige domener.

Budsjett: hva betaler du egentlig for?

• Grunnleggende DNS: som regel inkludert hos registrar eller webhotell, uten ekstra kostnad.
• Egen DNS-tjeneste med brannmur og mellomlager (for eksempel Cloudflare): finnes både gratis og i betalte versjoner. Det gir mest verdi for nettbutikker og sider med mye trafikk. Sjekk gjeldende priser hos leverandøren.
• Leverandørtimer: endring av noen poster tar minutter, mens en flytting av nettside og e-post med planlegging fort blir noen timer. Avklar det i avtalen om drift av nettside, så det ikke kommer som en overraskelse.

Slik flytter du nettside eller e-post uten nedetid

Nedetid ved flytting kommer nesten alltid av to ting: TTL-verdien ble ikke senket på forhånd, eller noen glemte poster som ikke gjaldt nettsiden. Rekkefølgen under er den vi bruker ved bytte av webhotell, redesign av nettside og plattformbytter.

• 1. Eksporter eller ta skjermbilde av alle eksisterende DNS-poster før du rører noe. Det gjelder særlig MX, SPF, DKIM, DMARC og eventuelle bekreftelsesposter for Google og Microsoft.
• 2. Sjekk dagens TTL. Står den på 3600 (én time) eller 86400 (ett døgn), må du vente minst så lenge etter at du har senket den.
• 3. Senk TTL til 300 sekunder på postene som skal endres, minst ett døgn før flyttingen.
• 4. Sjekk om domenet har DNSSEC (DS-poster hos registraren). Skal du bytte DNS-leverandør, må DS-postene fjernes først. Vent til endringen har slått gjennom før du bytter navnetjenere.
• 5. Gjenskap alle poster hos den nye DNS-leverandøren før du bytter navnetjenere, og test mot de nye navnetjenerne direkte.
• 6. Gjør byttet tidlig på en hverdag, ikke fredag ettermiddag.
• 7. Kontroller nettside, e-post inn og ut og skjemaer. Bruk gjerne Norids DNS-sjekk.
• 8. Sett TTL tilbake til normalt, for eksempel 3600, når alt har vært stabilt i et par dager.

Punkt 4 er det fleste guider hopper over, og det har størst konsekvens. Norid skriver selv at all DNSSEC-informasjon fjernes når domenet overføres mellom registrarer. Får navnetjenerleverandøren problemer, anbefaler Norid å fjerne sikringen (DS-postene) før domenene slutter å virke, og legge den inn igjen når feilen er rettet. Peker DS-posten til en nøkkel den nye leverandøren ikke har, vil oppslagsservere som sjekker DNSSEC, avvise domenet ditt. For brukerne ser det ut som om nettsiden er nede.

Ved plattformbytter med korrekt 301-plan beholder Box sine kunder normalt 90–98 % av organisk trafikk gjennom migreringen.

DNS-byttet er bare én del av en plattformflytting. Den andre delen er omdirigeringene som sender gamle adresser til nye. Sørger du for begge deler, beholder du synligheten i søkemotorene, både i vanlige resultater og i AI-svarene Google viser øverst. Skal du flytte en nettbutikk, har vi en egen guide til migrering av nettbutikk.

Hvorfor avgjør DNS om e-posten din kommer fram?

Mottakerservere som Gmail og Outlook slår opp DNS-postene dine for å sjekke at e-posten faktisk kommer fra deg. Mangler postene eller er de feil, havner e-posten i søppelposten eller blir avvist. Ofte merker du det ikke før kunder sier at tilbudet aldri kom.

Googles regler er tydelige. Alle avsendere må ha SPF eller DKIM, mens masseutsendere må ha SPF, DKIM og DMARC. DMARC-policyen kan stå på none, og spamraten i Postmaster Tools skal holdes under 0,3 prosent. Google krever også gyldige PTR-poster, altså omvendt DNS, for domenene eller IP-adressene du sender fra. Sender du nyhetsbrev, er det i praksis disse kravene du må oppfylle.

SPF-grensen som stopper e-posten

Hvert domene kan bare ha én SPF-post. Ifølge standarden RFC 7208, avsnitt 4.6.4 kan en SPF-sjekk utløse høyst 10 DNS-oppslag. Går du over grensen, får du en permanent feil (permerror), og SPF regnes som ikke bestått for all e-post fra domenet. Hver include for Microsoft 365, nyhetsbrevverktøy, regnskapssystem og CRM bruker av den kvoten, og noen bruker flere oppslag hver. Typisk skjer det at noen legger til «bare én tjeneste til», og så faller leveringen for hele firmaet. Fjern include-er for tjenester du ikke lenger bruker. Lag aldri to SPF-poster. Slå sammen til én.

Når er det ikke riktig å endre DNS selv?

Å legge inn én TXT-post for å bekrefte domenet i Google Search Console klarer de fleste selv. Å bytte navnetjenere, flytte e-post eller rydde i SPF uten oversikt er noe annet. Vi fraråder å gjøre det på egen hånd hvis noe av dette gjelder deg:

• Domenet har DNSSEC, og du vet ikke hvem som administrerer nøklene.
• E-posten er forretningskritisk, for eksempel for ordrebekreftelser, fakturaer og kundeservice, og du har ikke oversikt over alle tjenestene som sender på vegne av domenet.
• Du bytter webhotell og e-postleverandør samtidig. Gjør det i to omganger.
• Nettsiden har vært hacket. Angripere legger noen ganger inn egne underdomener eller endrer poster, og det må ryddes systematisk.
• Du har ikke tilgang til registrarkontoen, og noen må dokumentere at bedriften er innehaver.

Her lønner det seg å la nettsideleverandøren eller IT-partneren gjøre jobben, mot at du får dokumentasjonen etterpå. Er nettsiden bare en enkel side uten e-post på domenet, er risikoen så lav at du kan gjøre endringen selv etter fremgangsmåten over.

Hvilke DNS-feil ser vi oftest?

De fleste DNS-problemer hos SMB-er kommer fra noen få gjentakende feil. Alle kan unngås med litt planlegging. Vårt råd er å gå gjennom listen hvert år, eller hver gang du bytter en leverandør.

• Gamle poster som peker til tjenester du har sagt opp. Et underdomene som peker til en nedlagt tjeneste, kan i verste fall tas over av andre.
• www og rotdomenet peker til forskjellige steder, slik at halve trafikken får en gammel side eller sikkerhetsvarsel.
• MX-poster slettet ved bytte av webhotell, fordi den nye leverandøren bare la inn postene for nettsiden.
• To SPF-poster eller mer enn 10 oppslag, slik at all e-post feiler autentiseringen.
• DMARC aldri lagt inn, slik at hvem som helst kan sende e-post som ser ut til å komme fra deg.
• Domenet ligger på en privatpersons konto, og fornyelsesvarslene går til en e-postadresse ingen leser.

Vil du sjekke tilstanden selv, kan du starte med verktøyene i guiden om å sjekke nettsider og Norids DNS-sjekk for .no-domener. Vil du heller ha noen som setter opp domene, DNS og e-post riktig fra start, er det en del av vår nettsidetjeneste.