DNS la o schimbare de furnizor

Modulul 6: Timp, cache și transferul domeniului · Timp de citire: 10 minute

Obiectiv de învățare: După această lecție veți putea planifica o schimbare a site-ului dumneavoastră, a e-mailului sau a administrării DNS astfel încât vizitatorii să nu observe nimic și să nu pierdeți niciun e-mail.

Concepte-cheie: tipuri de schimbare, ordinea pașilor, reducerea prealabilă a TTL, pregătirea înregistrărilor, backup al zonei, testarea înainte de comutare (fișierul hosts, adresă de verificare), e-mailul în timpul comutării, verificarea prealabilă la registru, DNSSEC și înregistrarea DS

Patru tipuri de schimbare

"Îmi transfer domeniul" poate însemna patru lucruri diferite. Este foarte util să stabiliți mai întâi la care vă referiți, deoarece fiecare tip afectează alte înregistrări.

Adesea se întâmplă mai multe simultan, de exemplu atunci când mutați totul de la un furnizor la altul. În acest caz se aplică și capcanele tuturor celor patru tipuri.

Ordinea de aur

Principiul cel mai important: pregătiți mai întâi totul la noua locație, abia apoi comutați. Comutarea în sine este o operațiune mică, câteva înregistrări sau serverele de nume. Tot ce poate fi făcut înainte de comutare, faceți înainte de comutare.

Cu câteva zile înainte

1. Faceți un backup al zonei dumneavoastră actuale. Exportați înregistrările, faceți o captură de ecran sau notați-le. Fără o imagine de ansamblu a ceea ce exista, nu veți ști ulterior ce lipsește. Multe panouri de control au un buton pentru backup DNS.
2. Faceți un inventar. Parcurgeți fiecare linie și notați la ce servește: site, e-mail, verificare la Google sau Microsoft, un serviciu de newsletter, un subdomeniu pentru un magazin online. Tocmai acele înregistrări suplimentare (TXT pentru verificare, CNAME pentru DKIM de la un serviciu de newsletter) sunt adesea uitate la schimbări.
3. Pregătiți noul mediu. Site-ul se află pe noul server, căsuțele de e-mail există la noul furnizor de e-mail.
4. Testați înainte de comutare. Puteți vizualiza un site pe un nou server fără a modifica DNS-ul: cu o linie în fișierul hosts, sau cu o adresă de test ori de verificare oferită de noul furnizor. Nu uitați să ștergeți acea linie din hosts după finalizare.

Cel puțin un TTL vechi înainte

5. Reduceți TTL-ul înregistrărilor pe care urmează să le modificați la 300 de secunde (lecția 6.1). Dacă TTL-ul era 3600, faceți acest lucru cu cel puțin o oră înainte; pentru siguranță, o zi. Dacă era 86400, atunci cu cel puțin o zi înainte.

Atenție: TTL-ul înregistrărilor NS de la registru (lecția 6.2) nu îl puteți reduce dumneavoastră înșivă. La o schimbare de servere de nume aveți întotdeauna acest timp de așteptare.

Comutarea

6. Modificați înregistrările (în cazul unei schimbări de site sau de e-mail), sau modificați serverele de nume la registrarul dumneavoastră (în cazul unei schimbări a administrării DNS).
7. Verificați imediat la serverul de nume autoritar dacă valorile noi sunt prezente (dig A example.com @ns1.newhost.example).

După aceea

8. Verificați totul: site-ul prin http și https, certificatul, un e-mail de test dus-întors, și o verificare online a MX, SPF, DKIM și DMARC.
9. Readuceți TTL-ul la 3600 dacă totul funcționează.
10. Renunțați la vechiul serviciu abia atunci când timp de câteva zile nu mai sosesc e-mailuri sau vizite la vechea locație. Dacă renunțați mai devreme, site-ul sau e-mailul dumneavoastră poate dispărea, sau, în cel mai rău caz, domeniul se poate elibera.

O schimbare a administrării DNS

Dacă vă transferați DNS-ul către un alt furnizor (alte servere de nume), există o regulă suplimentară: zona trebuie să fie completă la noul furnizor înainte de a modifica serverele de nume. Din momentul comutării, noul furnizor determină toate răspunsurile. Ce lipsește acolo nu mai există.

Luați această listă ca minim:

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (sau un CNAME)
mail       A      192.0.2.25        (dacă MX-ul dumneavoastră indică spre mail.example.com)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (selectorul diferă în funcție de furnizor)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Plus toate subdomeniile, înregistrările de verificare și înregistrările serviciilor externe.

Unele registre verifică noile servere de nume înainte de a accepta modificarea. DENIC (registrul .de) verifică, de exemplu, dacă noile servere de nume răspund deja pentru domeniu. Dacă zona nu este încă prezentă acolo, modificarea este refuzată. Și din acest motiv: pregătiți mai întâi zona.

Exemplu din practică

Un domeniu a fost conectat la un constructor de site-uri prin setarea serverelor de nume către acea platformă. Platforma a adăugat singură o înregistrare MX către mail.example.com și o înregistrare SPF, dar nicio înregistrare A pentru mail.example.com. Rezultatul: trimiterea funcționa, primirea nu. Fiecare server de e-mail care dorea să livreze un mesaj nu găsea o adresă pentru numele din MX. O singură înregistrare A la platformă a rezolvat problema. Lecție: dacă transferați serverele de nume, trebuie să transferați și fiecare înregistrare la care o altă înregistrare face trimitere.

E-mailul în timpul comutării

În perioada de tranziție, o parte din e-mailuri continuă să sosească la vechea locație: expeditorii cu un răspuns vechi în cache livrează acolo. Acest lucru este normal și nu reprezintă o problemă, atâta timp cât citiți ambele căsuțe de e-mail.

• Configurați deja noua căsuță de e-mail în programul dumneavoastră de e-mail, folosind numele de server indicat de noul furnizor (nu mail.example.com, deoarece acel nume indică, în timpul comutării, spre locații variabile).
• Păstrați și vechea căsuță de e-mail în programul dumneavoastră de e-mail până când, timp de câteva zile, nu mai sosește nimic acolo.
• Copiați e-mailurile vechi cu un instrument de migrare al noului furnizor sau cu un program de copiere IMAP.
• Nu uitați de înregistrarea SPF la o schimbare de e-mail: noul furnizor trebuie inclus, iar atâta timp cât cel vechi mai trimite încă (de exemplu formularul de contact al site-ului dumneavoastră), acesta trebuie să rămână și el inclus.

DNSSEC la o schimbare

Dacă domeniul dumneavoastră folosește DNSSEC (lecția 8.1), la registru se află o înregistrare DS: o amprentă a cheii cu care furnizorul dumneavoastră actual de DNS semnează zona. Dacă vă transferați administrarea DNS, noul furnizor va semna cu o altă cheie. Dacă vechea înregistrare DS rămâne la registru, amprenta nu mai corespunde. Resolverele validatoare (și sunt multe) returnează atunci SERVFAIL: întregul dumneavoastră domeniu devine inaccesibil pentru ele, atât site-ul, cât și e-mailul.

Abordarea sigură:

1. Solicitați eliminarea înregistrării DS la registru (dezactivați DNSSEC) și așteptați să expire TTL-ul DS.
2. Schimbați serverele de nume.
3. Activați DNSSEC la noul furnizor și solicitați plasarea noii înregistrări DS la registru.

Există și o metodă prin care puteți transfera domeniul fără întreruperea DNSSEC (cheile ambilor furnizori temporar în paralel), însă aceasta necesită cooperarea ambelor părți și nu este deloc susținută peste tot. Dacă, la o schimbare, totuși ceva merge greșit și domeniul dumneavoastră devine brusc inaccesibil, în timp ce înregistrările par corecte, verificați mai întâi DNSSEC.

În practică: cum arată într-un panou de control

În panoul de exemplu Contul meu WebOké puteți face un backup al întregii zone din fila DNS cu un singur buton și îl puteți restaura cu un singur clic dacă ceva nu funcționează. O schimbare a domeniului în sine o inițiați acolo în Centrul de transfer, iar cardul Sănătate domeniu/e-mail arată, după comutare, dacă serverele de nume, înregistrarea A, certificatul, MX, SPF, DMARC și DNSSEC sunt corecte. Alți furnizori oferă adesea un export al zonei (uneori ca fișier de zonă pe care îl puteți importa la noul furnizor) și o verificare similară; dacă panoul dumneavoastră nu are așa ceva, faceți o captură de ecran a listei de înregistrări.

Rezumat

• Stabiliți mai întâi ce se schimbă: site, e-mail, administrare DNS sau înregistrare.
• Backup-ul, inventarul, pregătirea noului mediu și testarea se fac înainte de comutare.
• Reduceți TTL-ul cu cel puțin un TTL vechi înainte și readuceți-l după aceea.
• La o schimbare a administrării DNS, zona trebuie să fie completă la noul furnizor înainte de schimbarea serverelor de nume; nu uitați înregistrări precum cea A a serverului de e-mail.
• Cu DNSSEC: mai întâi eliminați vechea înregistrare DS, apoi comutați, apoi plasați noua înregistrare DS.
• În timpul comutării citiți ambele căsuțe de e-mail și renunțați la vechiul serviciu abia când totul funcționează.

Quiz

Exercițiu

Exercițiul Z6.3: Inventarul de schimbare. Întocmiți un inventar de schimbare pentru domeniul dumneavoastră (sau, dacă nu aveți un domeniu, pentru sidn.nl, website-ul SIDN, registrul domeniilor .nl în Olanda). Căutați și completați: serverele de nume, înregistrările A și AAAA ale @ și www, înregistrările MX, înregistrarea SPF, înregistrarea DMARC și dacă există o înregistrare DS. Programul compară fiecare valoare cu ceea ce răspunde DNS-ul în acest moment.

Exercițiul O6.3: Configurare proprie în zona dumneavoastră de exersare. În zona dumneavoastră de exersare <code>.dnspractice.eu se află un mic site "existent": www.<code>.dnspractice.eu indică spre 192.0.2.10 (A) și 2001:db8::10 (AAAA), cu TTL 300. E-mailul zonei de exersare se află la mail.<code>.dnspractice.eu (192.0.2.25) cu o înregistrare MX (prioritate 10). Simulați o schimbare a site-ului:

1. Reduceți TTL-ul înregistrărilor www.<code>.dnspractice.eu la 60.
2. Faceți ca www.<code>.dnspractice.eu să indice spre noul server 198.51.100.10 și eliminați înregistrarea AAAA: noul server nu are IPv6.
3. Readuceți TTL-ul www.<code>.dnspractice.eu la 300.
4. Lăsați înregistrările de e-mail neschimbate.

Zona de exersare folosește TTL-uri scurte (între 30 și 300 de secunde), astfel încât să nu trebuiască să așteptați; la domeniul dumneavoastră real folosiți, de exemplu, 3600 ca valoare standard și 300 în timpul schimbării.

Lectură suplimentară

Pașii din aceste articole se referă la panourile de control WebOké; în alte panouri funcționează similar.

• Domeniu, website și e-mail mutate împreună fără întreruperi: planul de etape
• Utilizați nameservere proprii sau externe (precum Cloudflare) pentru domeniul dumneavoastră
• Site-ul web sau e-mailul nu funcționează după o mutare sau o modificare DNS: verificați-vă domeniul
• Crearea și restaurarea unui backup al DNS-ului
• Primirea e-mailurilor în timpul transferului domeniului
• Vizualizarea site-ului dumneavoastră la WebOké înainte de a transfera numele de domeniu
• Manual DirectAdmin 18.7: Domeniul meu nu funcționează încă după o transferare sau modificare
• Manual DirectAdmin 18.8: Testarea site-ului dumneavoastră web înainte ca domeniul să fie transferat
• Manual WebOké 5.7: Resetarea DNS-ului și crearea unui backup DNS
• Manual WebOké 5.8: DNSSEC și DANE