Gắn domain vào website: DNS, hosting, virtual host và TLS

Bài 6 đi theo đường dữ liệu từ trình duyệt đến máy chủ. Bài này nhìn từ phía người quản trị: khi gắn một tên miền mới vào website, bạn phải làm gì và kiểm tra ở đâu.

Vì "tên miền mở được website" là kết quả của nhiều quyết định độc lập, do các bên khác nhau nắm:

Bài đi theo thứ tự: A ai giữ phần nào, B bản ghi DNS và TTL, C lab đọc DNS, D virtual host và lab dựng hai website trên một IP, E chứng chỉ TLS cho nhiều tên, F quy trình gắn domain và chẩn đoán. Cuối bài bạn tự trả lời được câu hỏi ở trên.

Chỉ thực hành trên tên miền của bạn, tên miền công khai dành cho tài liệu như example.com, hoặc tên .test trong máy mình. Không dùng các lệnh này để dò quét hệ thống của người khác.

Bài 2 đã nói: tên miền, DNS và hosting là ba thứ khác nhau. Giờ ta xem mỗi thứ nằm ở đâu và việc gì cần quyền nào.

Ba thứ này có thể cùng một nhà cung cấp hoặc ba nơi khác nhau. Ví dụ: mua tên ở nơi A, đặt DNS ở nơi B, chạy web ở nơi C. Người có quyền vào hosting không nhất thiết có quyền DNS, và ngược lại.

Lỗi hay gặp: sửa bản ghi mà không có tác dụng

Bản ghi chỉ có hiệu lực ở nơi mà NS đang trỏ tới. Nếu tên miền mua ở nơi A, NS đã đổi sang nơi B, thì bản ghi bạn thêm ở trang quản lý của A bị bỏ qua. Trước khi sửa bản ghi, luôn kiểm tra NS: dig NS ten-mien +short.

Mỗi Bản ghi DNS trả lời một loại câu hỏi. Sáu loại cần biết:

Chú ý: .example chỉ là tên minh họa. Một vài quy tắc nên nhớ: CNAME không đặt cùng tên với bản ghi khác (không đặt được trên chính tên gốc clb.example theo chuẩn DNS, nhiều nhà cung cấp có cách xử lý riêng); một tên có thể có nhiều bản ghi A.

Đọc một dòng bản ghi

clb.example.   300   IN   A   203.0.113.10

TTL: vì sao đổi bản ghi mà chưa thấy tác dụng

Resolver lưu câu trả lời trong Bộ nhớ đệm (Cache) đúng Thời gian lưu cache giây. Bạn sửa bản ghi xong, nơi nào còn cache cũ vẫn trả giá trị cũ cho tới khi hết hạn. Cái người ta hay gọi là "chờ DNS lan truyền" phần lớn là chờ cache hết hạn, không phải bản ghi đang "đi" khắp nơi.

1. Trước ngày chuyển, hạ TTL (ví dụ 300) và chờ ít nhất bằng TTL cũ.
2. Đổi bản ghi.
3. Kiểm tra bằng dig; hỏi thẳng máy chủ tên để biết giá trị gốc đã đúng chưa.
4. Ổn định rồi mới tăng TTL lại.

Bản ghi "bị bỏ quên" là điểm yếu

clb.example.       300   IN  A      203.0.113.10
www.clb.example.   300   IN  CNAME  clb.example.
clb.example.       3600  IN  MX     10 mail.mailhost.example.
clb.example.       3600  IN  TXT    "v=spf1 include:mailhost.example -all"
demo.clb.example.  300   IN  CNAME  clb-demo.apphost.example.

Lab này chỉ gửi truy vấn DNS thông thường, giống mọi trình duyệt vẫn làm. Ta dùng example.com làm tên mẫu vì đây là tên miền công khai dành cho tài liệu.

dig example.com A +noall +answer
dig example.com AAAA +noall +answer
dig example.com MX +noall +answer
dig example.com TXT +noall +answer
dig example.com NS +noall +answer

dig example.com NS +short
dig example.com A +noall +answer @TEN-MAY-CHU-TEN

nslookup -type=A example.com
nslookup -type=AAAA example.com
nslookup -type=MX example.com
nslookup -type=TXT example.com
nslookup -type=NS example.com

Resolve-DnsName example.com -Type A | Select-Object Name, Type, TTL, IPAddress

nslookup -type=A example.com TEN-MAY-CHU-TEN

dig example.com A +noall +answer
dig example.com AAAA +noall +answer
dig example.com MX +noall +answer
dig example.com TXT +noall +answer
dig example.com NS +noall +answer

dig example.com NS +short
dig example.com A +noall +answer @TEN-MAY-CHU-TEN

Đọc kết quả

Với example.com, bạn có thể gặp hai bản ghi đáng chú ý, vì chúng cho thấy cách khai báo chính sách bằng DNS:

• MX 0 .: dấu chấm đơn nghĩa là tên miền này cố ý khai báo không nhận thư.
• TXT "v=spf1 -all": chính sách SPF nói không máy nào được gửi thư mang tên miền này. Tên miền không dùng email nên khóa như vậy là thói quen tốt chống giả mạo.

Số bản ghi, IP và TTL của bạn sẽ khác vì nhà cung cấp có thể thay đổi bất cứ lúc nào. Mục đích là tập đọc từng cột, không phải ghi nhớ số.

Sau khi DNS đưa yêu cầu đến 203.0.113.10, ta mới tới một câu hỏi khác: máy này chạy website của cả clb.example lẫn clb-moi.example, vậy phục vụ trang nào? Câu trả lời nằm trong chính yêu cầu HTTP:

GET / HTTP/1.1
Host: clb-moi.example

Dòng Host là tên mà trình duyệt đã gõ. Web server đọc nó và chọn website tương ứng. Cách làm này gọi là Máy chủ ảo theo tên (Virtual host). Trong cấu hình web server, tên được khai ở các chỉ thị như server_name (nginx) hoặc ServerName (Apache).

server { listen 80 default_server; return 444; }
server { listen 80; server_name clb.example www.clb.example; root /var/www/clb; }
server { listen 80; server_name clb-moi.example; root /var/www/su-kien; }

• Dòng 2 và 3: mỗi website khai tên của mình.
• Dòng 1: default_server là website phục vụ khi không tên nào khớp. Ở đây cho đóng kết nối (return 444 là cách riêng của nginx).

Hệ quả cho bài toán mở đầu

Nếu bạn trỏ DNS của clb-moi.example về máy chủ trước khi khai tên đó trong web server, yêu cầu sẽ rơi vào site mặc định. Nếu site mặc định chính là website cũ của câu lạc bộ (nhiều hosting đặt site đầu tiên làm mặc định), người dùng thấy trang cũ dưới tên mới. Đó là triệu chứng "trỏ đúng IP mà ra sai website".

Ta dựng đúng cơ chế ở phần D bằng vài dòng Python, trong máy mình, không ra mạng. Dùng tên .test: đây là đuôi tên miền dành riêng cho thử nghiệm (RFC 2606), sẽ không trùng với website thật.

Bước 1. Tạo server

1. Tạo thư mục trống vhost-lab, tạo file vhost.py với nội dung dưới đây:

from http.server import BaseHTTPRequestHandler, HTTPServer

SITES = {
    "clb.test": "<h1>Website CLB</h1>",
    "clb-moi.test": "<h1>Website su kien</h1>",
}


class VirtualHost(BaseHTTPRequestHandler):
    def do_GET(self):
        host = (self.headers.get("Host") or "").split(":")[0]
        page = SITES.get(host)
        status = 200 if page else 404
        body = (page or "<h1>Khong co website cho ten nay</h1>").encode("utf-8")
        self.send_response(status)
        self.send_header("Content-Type", "text/html; charset=utf-8")
        self.send_header("Content-Length", str(len(body)))
        self.end_headers()
        self.wfile.write(body)

    def log_message(self, fmt, *args):
        print("Host=" + str(self.headers.get("Host")), fmt % args, flush=True)


HTTPServer(("127.0.0.1", 8000), VirtualHost).serve_forever()

2. Mở terminal đúng trong thư mục đó và chạy, giữ cửa sổ này mở:

python3 vhost.py

py vhost.py

Server chỉ lắng nghe 127.0.0.1:8000 nên chỉ máy này truy cập được. Nếu báo "Address already in use", port 8000 đang bị dùng (có thể do lab bài 6 chưa tắt): dừng nó bằng Ctrl+C hoặc đổi số port trong file.

Bước 2. Gửi bốn yêu cầu

Mở terminal thứ hai. Trên Windows PowerShell dùng curl.exe thay cho curl.

curl -i -H "Host: clb.test" http://127.0.0.1:8000/
curl -i -H "Host: clb-moi.test" http://127.0.0.1:8000/
curl -i -H "Host: la.test" http://127.0.0.1:8000/
curl -i http://127.0.0.1:8000/

Một cách khác, sát với thực tế hơn: để curl tự tạo Host từ tên trong URL, và chỉ "giả lập DNS" bằng một dòng gán tên với IP:

curl --resolve clb.test:8000:127.0.0.1 http://clb.test:8000/

--resolve nói với curl "tên này có IP kia", thay vai trò DNS mà không sửa file hệ thống. Lúc này curl gửi Host: clb.test:8000; script đã cắt phần port nên vẫn nhận ra tên.

Kết quả mong đợi

Cả bốn yêu cầu đều tới cùng một IP và port, chỉ khác dòng Host mà nhận về nội dung khác nhau. Terminal của server in dòng log kèm Host=, nên bạn thấy server đã nhận tên nào. Xong thì dừng server bằng Ctrl+C.

Lớp cuối là Bảo mật tầng truyền tải (TLS), từ bài 6. Bài 6 nói chứng chỉ gắn một tên với khóa công khai. Ở đây ta xem điều đó gây ra gì khi một máy phục vụ nhiều tên.

Chứng chỉ liệt kê rõ những tên nó phủ

Trong Chứng chỉ số của máy chủ (Server certificate) có danh sách tên gọi là Subject Alternative Name (SAN). Trình duyệt so tên đang truy cập với danh sách đó. Cấp cho clb.example không tự phủ clb-moi.example: vào tên mới sẽ báo "name mismatch" dù DNS và virtual host đã đúng. Có hai cách phủ nhiều tên:

• Một chứng chỉ nhiều tên: liệt kê từng tên (clb.example, www.clb.example, clb-moi.example).
• Chứng chỉ wildcard: *.clb.example phủ api.clb.example hay www.clb.example (một cấp), nhưng không phủ clb.example và không phủ a.b.clb.example. Khóa của wildcard dùng cho nhiều tên, nên lộ khóa là lộ cả nhóm tên đó.

Server chọn chứng chỉ nào khi nhiều tên dùng chung IP?

Việc chọn chứng chỉ diễn ra trước khi có HTTP, nên server chưa đọc được dòng Host. Vì vậy client nói tên ngay trong bắt tay TLS, qua trường Tên máy chủ trong bắt tay TLS (SNI). Bạn đã thấy trường này ở Lab 2 của bài 6 (Client Hello có Server Name). Server dùng SNI để chọn chứng chỉ, rồi sau khi giải mã mới dùng Host để chọn website: hai bước, hai lần nhìn tên.

Xin chứng chỉ cho tên mới

Tổ chức cấp chứng chỉ (CA) chỉ cấp khi chứng minh được bạn kiểm soát tên đó, ví dụ bằng cách đặt một file ở địa chỉ web của tên đó, hoặc thêm một bản ghi TXT. Hai hệ quả:

• Với cách xác minh qua web, DNS phải trỏ về máy chủ và virtual host đã chạy trước, nếu không CA không tới được file xác minh.
• Ai điều khiển được DNS thì xin được chứng chỉ cho tên đó. Đây là thêm một lý do để bảo vệ tài khoản DNS (phần A).

Chứng chỉ thường chỉ có hạn vài tháng và nhiều hệ thống tự gia hạn. Tự động không có nghĩa là không cần theo dõi: ghi hạn vào lịch và kiểm tra khi gia hạn lỗi.

Lab 3. Xem chứng chỉ thật

Bạn chỉ đọc chứng chỉ mà server công khai gửi cho mọi người, như trình duyệt vẫn làm.

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -issuer -dates

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -text | grep -A1 "Subject Alternative Name"

subject= /CN=example.com
issuer= /C=US/O=Ten-to-chuc-cap-chung-chi/CN=Ten-CA
notBefore=Sep 26 22:49:11 2026 GMT
notAfter=Dec 25 22:56:35 2026 GMT

            X509v3 Subject Alternative Name:
                DNS:example.com, DNS:*.example.com

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -subject -issuer -dates

echo | openssl s_client -connect example.com:443 -servername example.com 2>/dev/null | openssl x509 -noout -text | grep -A1 "Subject Alternative Name"

subject= /CN=example.com
issuer= /C=US/O=Ten-to-chuc-cap-chung-chi/CN=Ten-CA
notBefore=Sep 26 22:49:11 2026 GMT
notAfter=Dec 25 22:56:35 2026 GMT

            X509v3 Subject Alternative Name:
                DNS:example.com, DNS:*.example.com

Từ các phần trên rút ra thứ tự làm việc an toàn. Thứ tự này không ngẫu nhiên: mỗi bước đặt nền cho bước sau.

1. Xác nhận quyền. Tên miền thuộc ai, ai có quyền DNS và hosting, đã bật MFA chưa (phần A).
2. Làm trên staging trước nếu là website đang chạy thật; ghi lại cấu hình cũ để quay lại.
3. Khai tên mới trong web server (virtual host) và đặt site mặc định an toàn. Làm bước này trước DNS để người dùng không rơi vào site sai.
4. Thêm bản ghi DNS (A/AAAA hoặc CNAME) với TTL thấp. Kiểm tra bằng dig cả ở resolver thường lẫn hỏi thẳng máy chủ tên.
5. Cấp chứng chỉ gồm tên mới, bật chuyển hướng HTTP sang HTTPS.
6. Chốt tên chuẩn. Chọn một tên chính (ví dụ có hoặc không có www), chuyển hướng các tên còn lại về đó; chỉnh URL chuẩn và phạm vi cookie trong ứng dụng.
7. Ghi lại và dọn dẹp. Ghi bản ghi đã thêm, ngày hết hạn tên miền và chứng chỉ, người phụ trách; nâng TTL; xóa bản ghi tạm.

Khi mở tên mới mà vẫn lỗi: đọc triệu chứng để chọn lớp