DNS podczas transferu domeny

Moduł 6: Czas, pamięć podręczna i transfer domeny · Czas czytania: 10 min

Cel lekcji: Po tej lekcji będą Państwo potrafili zaplanować przeprowadzkę strony internetowej, poczty e-mail lub zarządzania DNS tak, aby odwiedzający niczego nie zauważyli i aby nie zabrakło żadnej wiadomości e-mail.

Kluczowe pojęcia: rodzaje przeprowadzki, kolejność działań, wcześniejsze obniżenie TTL, przygotowanie rekordów, kopia zapasowa strefy, testowanie przed przełączeniem (plik hosts, adres podglądowy), poczta podczas przełączenia, wcześniejsza kontrola u rejestru, DNSSEC i rekord DS

Cztery rodzaje przeprowadzki

"Przenoszę swoją domenę" może oznaczać cztery różne rzeczy. Bardzo pomaga najpierw ustalić, o który rodzaj chodzi, ponieważ każdy z nich dotyczy innych rekordów.

Często zachodzi kilka z tych zmian jednocześnie, na przykład gdy przenoszą Państwo wszystko od jednego dostawcy do drugiego. Wtedy dotyczą Państwa wszystkie pułapki czterech rodzajów naraz.

Złota zasada kolejności

Najważniejsza zasada: najpierw przygotować wszystko w nowym miejscu, dopiero potem przełączyć. Samo przełączenie to niewielka czynność, kilka rekordów lub serwery nazw. Wszystko, co można zrobić przed przełączeniem, należy zrobić przed przełączeniem.

Kilka dni wcześniej

1. Proszę wykonać kopię zapasową obecnej strefy. Proszę wyeksportować rekordy, zrobić zrzut ekranu lub je zapisać. Bez przeglądu tego, co tam było, po fakcie nie będą Państwo wiedzieć, czego brakuje. Wiele paneli ma przycisk do wykonania kopii zapasowej DNS.
2. Proszę sporządzić spis. Proszę przejrzeć każdy wiersz i zapisać, do czego służy: strona internetowa, poczta, weryfikacja u Google lub Microsoft, usługa newslettera, subdomena dla sklepu internetowego. To właśnie te dodatkowe rekordy (TXT do weryfikacji, CNAME dla DKIM usługi newslettera) są często zapominane podczas przeprowadzek.
3. Proszę przygotować nowe środowisko. Strona internetowa znajduje się na nowym serwerze, skrzynki pocztowe istnieją u nowego dostawcy poczty.
4. Proszę przetestować przed przełączeniem. Można obejrzeć stronę internetową na nowym serwerze bez zmiany DNS: za pomocą wpisu w pliku hosts lub za pomocą adresu testowego bądź podglądowego, który podaje nowy dostawca. Proszę nie zapomnieć usunąć tego wpisu w pliku hosts po zakończeniu.

Przynajmniej jeden poprzedni TTL wcześniej

5. Proszę obniżyć TTL rekordów, które będą Państwo zmieniać, do 300 sekund (lekcja 6.1). Jeśli TTL wynosił 3600, proszę zrobić to przynajmniej godzinę wcześniej; dla pewności dzień wcześniej. Jeśli wynosił 86400, to przynajmniej dzień wcześniej.

Proszę zwrócić uwagę: TTL rekordów NS u rejestru (lekcja 6.2) nie mogą Państwo sami obniżyć. Przy zmianie serwerów nazw zawsze obowiązuje ten czas oczekiwania.

Przełączenie

6. Proszę zmienić rekordy (przy przeprowadzce strony lub poczty) albo zmienić serwery nazw u rejestratora (przy przeprowadzce zarządzania DNS).
7. Proszę od razu sprawdzić u autorytatywnego serwera nazw, czy nowe wartości tam się znajdują (dig A example.com @ns1.newhost.example).

Potem

8. Proszę sprawdzić wszystko: stronę internetową przez http i https, certyfikat, testową wiadomość e-mail w obie strony, oraz kontrolę online MX, SPF, DKIM i DMARC.
9. Proszę przywrócić TTL do 3600, gdy wszystko działa.
10. Proszę zrezygnować ze starej usługi dopiero, gdy przez kilka dni na starym miejscu nie przychodzi już żadna poczta ani odwiedziny. Jeśli zrezygnują Państwo zbyt wcześnie, strona lub poczta mogą przestać działać, a w najgorszym przypadku domena może wygasnąć.

Przeprowadzka zarządzania DNS

Jeśli przenoszą Państwo DNS do innej firmy (inne serwery nazw), obowiązuje jedna dodatkowa zasada: strefa musi być w komplecie u nowej firmy, zanim zmienią Państwo serwery nazw. Od momentu przełączenia nowa firma określa wszystkie odpowiedzi. Czego tam brakuje, już nie istnieje.

Proszę uwzględnić ten minimalny wykaz:

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (lub rekord CNAME)
mail       A      192.0.2.25        (jeśli Państwa MX wskazuje na mail.example.com)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (selektor różni się w zależności od dostawcy)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Oraz wszystkie subdomeny, rekordy weryfikacyjne i rekordy usług zewnętrznych.

Niektóre rejestry sprawdzają nowe serwery nazw przed zaakceptowaniem zmiany. Na przykład DENIC (rejestr .de) sprawdza, czy nowe serwery nazw już odpowiadają za domenę. Jeśli strefa nie jest tam jeszcze gotowa, zmiana zostaje odrzucona. Także dlatego: najpierw przygotować strefę.

Przykład z praktyki

Domena została połączona z kreatorem stron internetowych poprzez skierowanie serwerów nazw na tę platformę. Platforma sama dodała rekord MX wskazujący na mail.example.com oraz rekord SPF, ale nie dodała rekordu A dla mail.example.com. Rezultat: wysyłanie działało, odbieranie nie. Każdy serwer pocztowy chcący dostarczyć wiadomość nie znajdował adresu pod nazwą z rekordu MX. Rozwiązaniem był jeden rekord A u platformy. Wniosek: jeśli przenoszą Państwo serwery nazw, musi zostać przeniesiony także każdy rekord, do którego odwołuje się inny rekord.

Poczta e-mail podczas przełączenia

W okresie przejściowym część poczty wciąż dociera na stare miejsce: nadawcy z nieaktualną odpowiedzią w pamięci podręcznej dostarczają tam pocztę. To normalne i nie stanowi problemu, o ile czytają Państwo obie skrzynki pocztowe.

• Proszę od razu skonfigurować nową skrzynkę pocztową w programie pocztowym, używając nazwy serwera podanej przez nowego dostawcę (nie mail.example.com, ponieważ ta nazwa podczas przełączenia wskazuje na zmieniające się miejsca).
• Proszę pozostawić starą skrzynkę pocztową w programie pocztowym, dopóki przez kilka dni nic już do niej nie przychodzi.
• Proszę skopiować starą pocztę za pomocą narzędzia migracyjnego nowego dostawcy lub programu do kopiowania IMAP.
• Przy przeprowadzce poczty proszę nie zapomnieć o rekordzie SPF: nowy dostawca musi się w nim znaleźć, a dopóki stary nadal wysyła pocztę (na przykład formularz kontaktowy Państwa strony internetowej), musi w nim pozostać także stary.

DNSSEC podczas przeprowadzki

Jeśli Państwa domena korzysta z DNSSEC (lekcja 8.1), u rejestru znajduje się rekord DS: odcisk palca klucza, którym obecna firma obsługująca DNS podpisuje strefę. Jeśli przenoszą Państwo zarządzanie DNS, nowa firma podpisuje innym kluczem. Jeśli stary rekord DS pozostanie u rejestru, odcisk palca przestaje pasować. Walidujące resolvery (a jest ich wiele) zwracają wtedy SERVFAIL: cała Państwa domena jest dla nich nieosiągalna, zarówno strona internetowa, jak i poczta.

Bezpieczne podejście:

1. Proszę usunąć rekord DS u rejestru (wyłączyć DNSSEC) i poczekać, aż upłynie TTL rekordu DS.
2. Proszę zmienić serwery nazw.
3. Proszę włączyć DNSSEC u nowej firmy i umieścić nowy rekord DS u rejestru.

Istnieje też metoda przenoszenia bez przerwy w działaniu DNSSEC (tymczasowe współistnienie kluczy obu firm), ale wymaga ona współpracy obu stron i nie jest wspierana wszędzie. Jeśli podczas przeprowadzki coś pójdzie nie tak i Państwa domena stanie się nagle nieosiągalna, mimo że rekordy wyglądają poprawnie, proszę najpierw sprawdzić DNSSEC.

W praktyce: jak to wygląda w panelu

W przykładowym panelu Moje WebOké można wykonać kopię zapasową całej strefy na karcie DNS jednym przyciskiem, a przywrócić ją jednym kliknięciem, jeśli coś pójdzie nie tak. Przeprowadzkę samej domeny rozpoczyna się tam w Centrum transferu, a karta Stan domeny / poczty e-mail pokazuje po przełączeniu, czy serwery nazw, rekord A, certyfikat, MX, SPF, DMARC i DNSSEC są poprawne. Inni dostawcy często oferują eksport strefy (czasem jako plik strefy, który można zaimportować u nowej firmy) oraz podobną kontrolę; jeśli Państwa panel tego nie ma, proszę zrobić zrzut ekranu listy rekordów.

Podsumowanie

• Proszę najpierw ustalić, co się przenosi: strona internetowa, poczta, zarządzanie DNS czy rejestracja.
• Kopia zapasowa, spis, przygotowanie nowego środowiska i testowanie odbywają się przed przełączeniem.
• Proszę obniżyć TTL przynajmniej jeden poprzedni okres TTL wcześniej, a potem przywrócić go do pierwotnej wartości.
• Przy przeprowadzce zarządzania DNS strefa musi być w komplecie u nowej firmy przed zmianą serwerów nazw; proszę nie zapominać o rekordach takich jak rekord A serwera pocztowego.
• Przy DNSSEC: najpierw usunąć stary rekord DS, potem przełączyć, potem umieścić nowy rekord DS.
• Podczas przełączenia proszę czytać obie skrzynki pocztowe i zrezygnować ze starej usługi dopiero, gdy wszystko działa.

Quiz

Zadanie

Zadanie Z6.3: Spis przeprowadzkowy. Proszę sporządzić spis przeprowadzkowy swojej własnej domeny (a jeśli nie mają Państwo domeny, domeny sidn.nl, czyli strony SIDN, rejestru .nl w Holandii). Proszę wyszukać i uzupełnić: serwery nazw, rekordy A i AAAA dla @ i www, rekordy MX, rekord SPF, rekord DMARC oraz informację, czy istnieje rekord DS. Program porówna każdą wartość z tym, co obecnie odpowiada DNS.

Zadanie O6.3: Samodzielna konfiguracja w strefie ćwiczeniowej. W Państwa strefie ćwiczeniowej <code>.dnspractice.eu znajduje się mała "istniejąca" strona internetowa: www.<code>.dnspractice.eu wskazuje na 192.0.2.10 (A) i 2001:db8::10 (AAAA), z TTL 300. Poczta strefy ćwiczeniowej znajduje się pod adresem mail.<code>.dnspractice.eu (192.0.2.25) z rekordem MX (priorytet 10). Proszę odtworzyć przeprowadzkę strony internetowej:

1. Proszę obniżyć TTL rekordów www.<code>.dnspractice.eu do 60.
2. Proszę skierować www.<code>.dnspractice.eu na nowy serwer 198.51.100.10 i usunąć rekord AAAA: nowy serwer nie ma IPv6.
3. Proszę przywrócić TTL www.<code>.dnspractice.eu do 300.
4. Proszę pozostawić rekordy pocztowe bez zmian.

Strefa ćwiczeniowa korzysta z krótkich wartości TTL (od 30 do 300 sekund), aby nie musieli Państwo czekać; przy swojej rzeczywistej domenie proszę używać na przykład 3600 jako wartości standardowej i 300 podczas przeprowadzki.

Dalsza lektura

Kroki opisane w tych artykułach dotyczą paneli WebOké; w innych panelach działanie jest podobne.

• Przeprowadzka domeny, strony internetowej i poczty e-mail jednocześnie, bez przestojów: plan działania
• Korzystanie z własnych lub zewnętrznych serwerów nazw (np. Cloudflare) dla Państwa domeny
• Strona internetowa lub poczta e-mail nie działają po przeniesieniu lub zmianie DNS: prosimy sprawdzić Państwa domenę
• Tworzenie i przywracanie kopii zapasowej DNS
• Odbieranie poczty podczas transferu domeny
• Przed przeniesieniem nazwy domeny prosimy o sprawdzenie Państwa strony internetowej w WebOké
• Instrukcja DirectAdmin 18.7: Moja domena jeszcze nie działa po transferze lub zmianie
• Instrukcja DirectAdmin 18.8: Testowanie mojej strony internetowej przed przeniesieniem domeny
• Podręcznik WebOké 5.7: Przywracanie DNS i tworzenie kopii zapasowej DNS
• Podręcznik WebOké 5.8: DNSSEC i DANE