# Tạo nameserver riêng (ns1.tenmien.com): hướng dẫn từng bước

> Cách tạo nameserver riêng như ns1.congty.vn cho dịch vụ hosting: khai báo glue record, cài DNS authoritative, chạy hai server và kiểm tra bằng dig từng bước.

Source: https://zopanel.net/vi/blog/private-nameservers  
Updated: 2026-10-21

## Ý chính

- Nameserver riêng gồm hai phần: glue record khai báo ở nhà đăng ký và một máy chủ DNS authoritative trả lời trên các IP đó.
- Glue record cần thiết vì ns1.congty.vn nằm bên trong chính tên miền mà nó phục vụ.
- Nên dùng ít nhất hai nameserver trên hai server ở hai nơi khác nhau, không chỉ hai tên cùng một IP.
- Khi đổi IP server, chỉ cần sửa glue và bản ghi A, tên miền của khách không phải đổi nameserver.

Để tạo nameserver riêng như `ns1.congty.vn` và `ns2.congty.vn`, bạn cần hai việc: khai báo **glue record** (còn gọi là child nameserver hay host record) cho hai tên đó tại nhà đăng ký của `congty.vn`, trỏ về IP các server DNS của bạn; và chạy một **máy chủ DNS authoritative** trên những IP đó để trả lời cho các tên miền của khách. Sau đó, khách hàng chỉ việc đặt nameserver của tên miền thành `ns1.congty.vn` và `ns2.congty.vn`.

Bài này giải thích vì sao cần glue record, cần mấy server, các bước cụ thể, cách kiểm tra bằng `dig`, những lỗi hay gặp, và cách làm trong ZoPanel. Nếu bạn chỉ cần trỏ một tên miền về VPS mà không cần nameserver riêng, bài [trỏ tên miền về VPS](/vi/blog/point-domain-to-vps) phù hợp hơn.

## Nameserver riêng là gì và vì sao nên có?

Nameserver là máy chủ trả lời câu hỏi "tên miền này trỏ về đâu". Mặc định, khách dùng nameserver của nhà đăng ký hoặc của Cloudflare. Nameserver riêng là nameserver mang tên miền của bạn.

Với nhà cung cấp hosting, đại lý hay agency, nameserver riêng có ba lợi ích thực tế:

- **Thương hiệu.** Khách thấy `ns1.congty.vn` trong email chào mừng và ở nhà đăng ký, không phải tên của nhà cung cấp hạ tầng phía sau.
- **Chủ động khi đổi server.** Khi bạn chuyển sang server mới, chỉ cần cập nhật glue record và bản ghi A của chính bạn. Hàng trăm tên miền của khách vẫn giữ nguyên nameserver, không ai phải đăng nhập nhà đăng ký để sửa.
- **Quản lý DNS cùng chỗ với hosting.** Bản ghi web, mail (MX, SPF, DKIM) được tạo cùng lúc với website, và chứng chỉ SSL wildcard xin được qua DNS.

Đổi lại, bạn chịu trách nhiệm cho tính sẵn sàng của DNS: nếu nameserver ngừng trả lời, mọi tên miền dùng nó đều "biến mất" khỏi Internet, kể cả khi website vẫn chạy.

## Vì sao cần glue record?

Hãy nhìn vấn đề "con gà và quả trứng": để biết IP của `ns1.congty.vn`, resolver phải hỏi nameserver của `congty.vn`, mà nameserver đó lại chính là `ns1.congty.vn`. Không có thêm thông tin, resolver bị kẹt.

Glue record giải quyết chuyện này: nhà đăng ký gửi IP của `ns1.congty.vn` lên registry của vùng cha (`.vn`, `.com`...), và registry trả kèm IP đó trong câu trả lời uỷ quyền. Định nghĩa gốc trong RFC 1034, được trích lại trong [RFC 9499 về thuật ngữ DNS](https://www.rfc-editor.org/rfc/rfc9499.html), mô tả glue là các bản ghi địa chỉ của name server chỉ cần thiết khi tên của name server nằm "bên dưới" điểm uỷ quyền.

Nói ngắn gọn: **nameserver nằm trong chính tên miền của bạn thì bắt buộc phải có glue.** Nếu bạn dùng tên ở tên miền khác (ví dụ khách dùng `ns1.congty.vn` cho `khachhang.com`), resolver vẫn tìm được IP qua glue của `congty.vn`.

## Cần bao nhiêu server DNS?

Về kỹ thuật, bạn có thể trỏ cả `ns1` và `ns2` về cùng một IP. Nhưng như vậy chỉ có hai cái tên, không có dự phòng: server đó ngừng là mọi tên miền ngừng.

[RFC 2182](https://www.rfc-editor.org/rfc/rfc2182.html), tài liệu hướng dẫn về việc chọn và vận hành server DNS phụ, khuyến nghị ba server cho đa số vùng DNS cấp tổ chức, với ít nhất một server đặt cách xa các server còn lại, và yêu cầu các server phụ phân tán cả về mạng lẫn địa lý để một sự cố không làm ngừng tất cả.

Thực tế cho nhà cung cấp hosting nhỏ:

| Cách bố trí | Dự phòng | Phù hợp |
| --- | --- | --- |
| ns1 và ns2 cùng một IP | Không có | Thử nghiệm, website cá nhân |
| ns1 và ns2 trên hai server cùng trung tâm dữ liệu | Chịu được một server hỏng | Khởi đầu, chi phí thấp |
| ns1 và ns2 ở hai trung tâm dữ liệu khác nhau | Chịu được sự cố cả một địa điểm | Khuyến nghị cho dịch vụ bán cho khách |
| Thêm ns3 ở nhà cung cấp hoặc khu vực khác | Cao hơn nữa | Khi số khách lớn |

Server DNS phụ không cần mạnh: một VPS nhỏ là đủ để phục vụ DNS cho rất nhiều tên miền.

## Các bước tạo nameserver riêng

### Bước 1: Chọn tên và IP

Chọn tên miền thương hiệu (ví dụ `congty.vn`) và hai tên: `ns1.congty.vn`, `ns2.congty.vn`. Ghi lại IP của từng server DNS. Nếu server có IPv6, ghi cả địa chỉ IPv6 để tạo glue AAAA.

### Bước 2: Cài máy chủ DNS authoritative

Trên mỗi server, cài một phần mềm DNS authoritative (PowerDNS, BIND, NSD hoặc Knot DNS). Mở cổng **53 cả UDP và TCP** trên tường lửa: TCP cần cho câu trả lời lớn (DNSSEC) và cho việc đồng bộ vùng giữa các server.

Hai điều quan trọng:

- Đây là server **authoritative**, chỉ trả lời cho các vùng nó quản lý. Đừng bật chế độ phân giải đệ quy cho cả Internet: một open resolver sẽ bị lợi dụng để tấn công khuếch đại DDoS.
- Đồng bộ vùng từ server chính sang server phụ (AXFR/IXFR kèm NOTIFY), tốt nhất là ký bằng khoá TSIG để không ai chèn được dữ liệu giả.

### Bước 3: Tạo vùng cho tên miền thương hiệu

Trong vùng DNS của `congty.vn`, thêm bản ghi A (và AAAA nếu có) cho `ns1` và `ns2`, **khớp chính xác** với IP sẽ khai báo ở glue:

```text
ns1   A   203.0.113.10
ns2   A   198.51.100.20
```

### Bước 4: Khai báo glue record tại nhà đăng ký

Đăng nhập trang quản lý tên miền `congty.vn` ở nhà đăng ký. Tên chức năng khác nhau tuỳ nơi: "Child Nameservers", "Host records", "Register nameserver", "Glue records" hay "Tạo nameserver riêng". Tạo:

- `ns1.congty.vn` → `203.0.113.10`
- `ns2.congty.vn` → `198.51.100.20`

Nhiều nhà đăng ký yêu cầu nhập ít nhất hai nameserver cho mỗi tên miền, đó cũng là lý do nên có sẵn hai tên ngay từ đầu.

### Bước 5: Chuyển tên miền sang nameserver mới

Với tên miền thương hiệu và tên miền của khách, đặt nameserver thành `ns1.congty.vn` và `ns2.congty.vn`. Trước khi đổi, đảm bảo vùng của từng tên miền **đã có đủ bản ghi** trên server mới (A, MX, TXT...), nếu không website và email sẽ gián đoạn trong lúc chờ cập nhật.

Lưu ý thời gian: bản ghi NS ở vùng cha có TTL do registry đặt, với `.com` là 172800 giây (48 giờ). Trong khoảng đó, một số resolver vẫn hỏi nameserver cũ, nên hãy giữ vùng ở nameserver cũ thêm vài ngày. Bài [chuyển hosting không gián đoạn](/vi/blog/migrate-website-without-downtime) mô tả cách tách việc đổi nameserver khỏi việc đổi server.

## Kiểm tra nameserver riêng bằng dig

Kiểm tra từng server có trả lời authoritative không (cờ `aa` trong phần `flags`):

```bash
dig @203.0.113.10 congty.vn SOA +norec
dig @198.51.100.20 congty.vn SOA +norec
```

Kiểm tra đường uỷ quyền từ gốc tới server của bạn:

```bash
dig +trace congty.vn NS
```

Xem glue mà registry đang trả (ví dụ với tên miền `.com`, hỏi thẳng server của registry):

```bash
dig +norec @a.gtld-servers.net congty.com NS
```

Phần `ADDITIONAL SECTION` phải có bản ghi A của `ns1` và `ns2` với đúng IP. Cuối cùng, so sánh số serial của SOA trên hai server để chắc chắn vùng đã đồng bộ.

## Tạo nameserver riêng với ZoPanel

ZoPanel có thành phần máy chủ DNS (PowerDNS) cài từ panel:

1. Tại nhà đăng ký của tên miền thương hiệu, tạo glue record cho `ns1` và `ns2` trỏ về IP server.
2. Trong ZoPanel, mở **DNS**, nhập **Nameserver** (từ 1 đến 6 tên, cách nhau bằng dấu phẩy) rồi bấm **Cài máy chủ DNS**. Trình cài đặt tự mở cổng 53 TCP và UDP trên tường lửa. Có thể làm ngay khi cài panel bằng tuỳ chọn `--nameservers ns1.congty.vn,ns2.congty.vn`.
3. Mỗi tên miền có website trong tài khoản đều tạo được vùng DNS. Vùng mới đã có sẵn A cho `@` và `www`, bản ghi CAA chỉ cho phép Let's Encrypt, và MX, SPF, DKIM, DMARC nếu tên miền đã bật email. Trang DNS hiển thị nameserver khách cần đặt ở nhà đăng ký. Lưu ý: muốn quản lý vùng của chính tên miền thương hiệu trên server, tên miền đó cũng cần có một website trong panel.
4. Để có server thứ hai, cài ZoPanel trên server khác và dùng thẻ **Cụm DNS**: tạo **Khoá cluster (TSIG)** trên máy chính, thêm IP máy phụ vào **Máy chủ phụ (IP)**, rồi trên máy phụ dán cùng khoá và khai báo **Máy chủ chính**. Mọi thay đổi được đẩy sang máy phụ qua NOTIFY, việc chuyển vùng được ký bằng khoá.

Các tính năng đi kèm: DNSSEC bật theo từng vùng (ZoPanel hiển thị bản ghi DS để khai ở nhà đăng ký), SSL wildcard xin qua DNS khi vùng được quản lý tại server, và email chào mừng gửi khách có thể chèn danh sách nameserver bằng biến `{{nameservers}}`. Tên panel cũng có thể thay bằng thương hiệu riêng (white-label) với license Business; hãy liên hệ chúng tôi để biết chi tiết. Chi tiết ở [tài liệu DNS](/vi/docs/dns) và [tài liệu đại lý](/vi/docs/reseller).

## Những lỗi thường gặp

- **IP ở glue và bản ghi A của ns1 không khớp.** Resolver nhận hai câu trả lời khác nhau, lỗi xảy ra lúc có lúc không, rất khó dò.
- **Đổi IP server mà quên sửa glue.** Glue nằm ở registry, không nằm trong vùng của bạn, nên phải sửa tại nhà đăng ký.
- **Chỉ mở UDP 53.** Câu trả lời lớn và việc đồng bộ vùng cần TCP.
- **Cả hai nameserver trên một server.** Hoạt động bình thường cho tới ngày server đó gặp sự cố.
- **Tắt DNSSEC sai thứ tự.** Phải gỡ bản ghi DS ở nhà đăng ký trước, chờ hết TTL, rồi mới tắt ký vùng; làm ngược lại khiến tên miền bị coi là hỏng.
- **Đổi nameserver khi vùng mới còn thiếu bản ghi**, đặc biệt là MX và các bản ghi TXT xác minh.

## Kết luận

Tạo nameserver riêng chỉ gồm vài bước: chọn tên, khai báo glue record, chạy DNS authoritative trên ít nhất hai server và kiểm tra bằng `dig`. Phần khó là vận hành: giữ hai server luôn đồng bộ, đặt ở hai nơi khác nhau và cập nhật glue mỗi khi đổi IP.

ZoPanel gom cả phần cài đặt lẫn cụm DNS hai server vào panel, và máy chủ DNS có trên mọi gói, kể cả Free (3 tài khoản, 10 website, 10 database). Xem [bảng giá](/vi/pricing) và [tài liệu DNS](/vi/docs/dns) để bắt đầu.

## Câu hỏi thường gặp

### Glue record là gì?

Glue record là bản ghi địa chỉ IP của nameserver, được khai báo tại nhà đăng ký và lưu ở registry của vùng cha. Nó bắt buộc khi tên nameserver nằm bên trong chính tên miền mà nó phục vụ, như `ns1.congty.vn` cho `congty.vn`, để resolver biết IP mà không bị vòng lặp.

### Có thể tạo nameserver riêng chỉ với một VPS không?

Được về kỹ thuật: trỏ cả `ns1` và `ns2` về cùng IP. Nhưng như vậy không có dự phòng, server ngừng là mọi tên miền ngừng phân giải. Khi bán dịch vụ cho khách, hãy dùng ít nhất hai server ở hai nơi khác nhau.

### Bao lâu thì nameserver riêng có hiệu lực?

Glue record mới thường xuất hiện ở registry trong vài phút đến vài giờ, tuỳ nhà đăng ký và registry. Khi đổi nameserver của một tên miền đang dùng, hãy tính tới 48 giờ với `.com`, vì bản ghi NS ở vùng cha có TTL 172800 giây.

### Đổi IP server thì khách có phải đổi nameserver không?

Không. Bạn chỉ cần sửa glue record tại nhà đăng ký và bản ghi A của `ns1`, `ns2` trong vùng tên miền thương hiệu. Tên miền của khách vẫn trỏ tới `ns1.congty.vn` và `ns2.congty.vn` như cũ.