DNS domeeni ülekande ajal

Moodul 6: Aeg, vahemälu ja ülekanne · Lugemisaeg: 10 minutit

Õpieesmärk: pärast seda tundi oskad planeerida oma veebisaidi, e-posti või DNS-halduse ülekande nii, et külastajad sellest midagi ei märka ja sul ei jää kirju vahele.

Põhimõisted: ülekande liigid, järjekord, TTL eelnev alandamine, kirjete ettevalmistamine, tsooni varukoopia, testimine enne vahetust (hosts-fail, kaasavaatamisaadress), e-post vahetuse ajal, registri eelnev kontroll, DNSSEC ja DS-kirje

Neli ülekande liiki

"Ma kolin oma domeeni" võib tähendada nelja erinevat asja. On suureks abiks kõigepealt määrata, millist sa mõtled, sest iga liik puudutab erinevaid kirjeid.

Sageli toimub mitu neist korraga, näiteks kui kolid kõik ühelt teenusepakkujalt teisele. Siis kehtivad ka kõigi nelja ohukohad korraga.

Kuldne järjekord

Kõige tähtsam põhimõte: sea kõik uues kohas kõigepealt valmis, siis alles vaheta. Vahetus ise on väike toiming, paar kirjet või nimeserverid. Kõik, mis saab teha enne vahetust, tee enne vahetust.

Mõni päev varem

1. Tee oma praegusest tsoonist varukoopia. Ekspordi kirjed, tee ekraanitõmmis või kirjuta need üles. Ilma ülevaateta sellest, mis seal oli, ei tea sa hiljem, mis puudub. Paljudel haldusliidestel on DNS-varukoopia nupp.
2. Tee inventuur. Vaata iga rida läbi ja kirjuta juurde, milleks see on: veebisait, e-post, kinnitus Google'is või Microsoftis, uudiskirjateenus, alamdomeen veebipoe jaoks. Just need lisakirjed (TXT kinnituseks, CNAME uudiskirjateenuse DKIM-i jaoks) jäävad ülekande ajal tihti unustusse.
3. Sea uus keskkond valmis. Veebisait on uues serveris, postkastid on olemas uue meiliteenuse juures.
4. Testi enne vahetust. Uues serveris olevat veebisaiti saab vaadata ilma DNS-i muutmata: reaga oma hosts-failis või testaadressi või kaasavaatamisaadressiga, mille uus teenusepakkuja annab. Ära unusta hiljem seda hosts-faili rida eemaldada.

Vähemalt üks vana TTL ette

5. Alanda TTL-i kirjetel, mida kavatsed muuta, 300 sekundile (tund 6.1). Kui TTL oli 3600, tee seda vähemalt tund aega ette; kindluse mõttes üks päev. Kui see oli 86400, siis vähemalt päev ette.

Pane tähele: registri juures olevate NS-kirjete TTL-i (tund 6.2) ei saa sa ise alandada. Nimeserverite vahetuse puhul on see ooteaeg alati olemas.

Vahetus

6. Muuda kirjeid (veebisaidi või e-posti ülekande puhul) või muuda nimeservereid oma registripidaja juures (DNS-halduse ülekande puhul).
7. Kontrolli kohe autoriteetse nimeserveri juures, kas uued väärtused on olemas (dig A example.com @ns1.newhost.example).

Pärast

8. Kontrolli kõike: veebisaiti http ja https kaudu, sertifikaati, testkirja edasi-tagasi, ning MX, SPF, DKIM ja DMARC veebikontrolliga.
9. Vii TTL tagasi 3600-le, kui kõik töötab.
10. Ütle vana teenus üles alles siis, kui vanasse kohta pole mõne päeva jooksul enam kirju ega külastusi tulnud. Kui ütled üles liiga vara, võib sinu sait või e-post ära kaduda, halvimal juhul domeen vabaneda.

DNS-halduse ülekanne

Kui viid oma DNS-i üle teisele teenusepakkujale (teistele nimeserveritele), kehtib üks lisareegel: tsoon peab olema täielikult uue teenusepakkuja juures olemas enne, kui muudad nimeservereid. Vahetuse hetkest alates annab kõik vastused uus teenusepakkuja. Mis seal puudub, seda enam ei eksisteeri.

Võta see nimekiri miinimumina kaasa:

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (või CNAME)
mail       A      192.0.2.25        (kui su MX osutab mail.example.com peale)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (selector erineb teenusepakkuja järgi)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Pluss kõik alamdomeenid, kinnituskirjed ja väliste teenuste kirjed.

Mõned registrid kontrollivad uusi nimeservereid, enne kui muudatuse heaks kiidavad. Näiteks DENIC (.de registry) vaatab, kas uued nimeserverid juba annavad domeeni kohta vastuseid. Kui tsoon pole veel paigas, lükatakse muudatus tagasi. Ka seetõttu: sea tsoon kõigepealt valmis.

Näide praktikast

Domeen ühendati saidiehitajaga, suunates nimeserverid sellele platvormile. Platvorm ise seadis MX-kirje, mis osutas mail.example.com peale, ja SPF-kirje, kuid mitte A-kirjet aadressile mail.example.com. Tulemus: saatmine õnnestus, vastuvõtmine mitte. Iga meiliserver, kes soovis kirja kohale toimetada, ei leidnud MX-is oleva nime juurest aadressi. Üks A-kirje platvormi juures lahendas probleemi. Õppetund: kui kolid nimeservereid, peab kaasa kolima ka iga kirje, millele mõni teine kirje osutab.

E-post vahetuse ajal

Üleminekuperioodil jõuab osa kirju endiselt vanasse kohta: saatjad, kelle vahemälus on vana vastus, toimetavad kirja sinna. See on normaalne ega ole probleem, kuni loed mõlemat postkasti.

• Sea uus postkast juba oma meiliprogrammi, kasutades serverinime, mille uus teenusepakkuja annab (mitte mail.example.com, sest see nimi osutab vahetuse ajal vahelduvatesse kohtadesse).
• Jäta vana postkast ka oma meiliprogrammi, kuni sinna mõne päeva jooksul enam midagi ei tule.
• Kopeeri vanad kirjad uue teenusepakkuja ülekandetööriistaga või IMAP-kopeerimisprogrammiga.
• Ära unusta e-posti ülekande puhul SPF-kirjet: uus teenusepakkuja peab sinna sisse jõudma, ja kuni vana ikka veel saadab (näiteks su veebisaidi kontaktivorm), peab see ka seal sees jääma.

DNSSEC ülekande ajal

Kui sinu domeen kasutab DNSSEC-i (tund 8.1), on registri juures DS-kirje: sõrmejälg võtmest, millega su praegune DNS-teenusepakkuja tsooni allkirjastab. Kui viid oma DNS-halduse üle, allkirjastab uus teenusepakkuja teise võtmega. Kui vana DS jääb registri juurde alles, ei sobi sõrmejälg enam kokku. Valideerivad resolverid (ja neid on palju) annavad siis SERVFAIL: kogu sinu domeen on nende jaoks kättesaamatu, nii veebisait kui e-post.

Turvaline lähenemine:

1. Lase DS registri juurest eemaldada (DNSSEC välja lülitada) ja oota, kuni DS-i TTL on möödas.
2. Vaheta nimeserverid.
3. Lülita uue teenusepakkuja juures DNSSEC sisse ja lase uus DS registri juurde lisada.

On olemas ka meetod, mille puhul saab DNSSEC-i katkestuseta üle kolida (mõlema teenusepakkuja võtmed ajutiselt kõrvuti), kuid see nõuab mõlema poole koostööd ja seda ei toetata kaugeltki kõikjal. Kui ülekande käigus läheb siiski midagi valesti ja su domeen on järsku kättesaamatu, kuigi kirjed tunduvad korras, kontrolli kõigepealt DNSSEC-i.

Praktikas: nii näeb see välja haldusliideses

Näidishaldusliideses Minu WebOké teed kogu tsoonist varukoopia DNS-i vahekaardil ühe nupuvajutusega ning taastad selle sama lihtsalt, kui midagi läheb valesti. Domeeni enda ülekande algatad seal Ülekandekeskuses, ja kaart Domeeni / e-posti tervis näitab pärast vahetust, kas nimeserverid, A-kirje, sertifikaat, MX, SPF, DMARC ja DNSSEC on korras. Teised teenusepakkujad pakuvad sageli tsooni eksporti (mõnikord tsoonifailina, mille saab uue teenusepakkuja juures importida) ja sarnast kontrolli; kui sinu haldusliideses seda pole, tee kirjete loetelust ekraanitõmmis.

Kokkuvõte

• Määra kõigepealt, mis kolib: veebisait, e-post, DNS-haldus või registreering.
• Varukoopia, inventuur, uue keskkonna ettevalmistamine ja testimine käivad enne vahetust.
• Alanda TTL-i vähemalt üks vana TTL ette ja vii see pärast tagasi.
• DNS-halduse ülekande puhul peab tsoon olema täielikult uue teenusepakkuja juures enne nimeserverite vahetust; ära unusta kirjeid nagu meiliserveri A-kirje.
• DNSSEC-iga: kõigepealt vana DS ära, siis vaheta, siis sea uus DS paika.
• Loe vahetuse ajal mõlemat postkasti ja ütle vana teenus üles alles siis, kui kõik töötab.

Test

Ülesanne

Ülesanne Z6.3: Ülekande inventuur. Koosta oma domeeni (või kui sul domeeni pole, sidn.nl domeeni, mis on SIDN-i, Madalmaade .nl-registri, veebisait) ülekande inventuur. Otsi üles ja täida: nimeserverid, @ ja www A- ja AAAA-kirjed, MX-kirjed, SPF-kirje, DMARC-kirje ning kas DS-kirje on olemas. Programm võrdleb iga väärtust sellega, mida DNS praegu vastab.

Ülesanne O6.3: Seadista ise oma harjutustsoonis. Sinu harjutustsoonis <code>.dnspractice.eu on väike "olemasolev" veebisait: www.<code>.dnspractice.eu osutab aadressile 192.0.2.10 (A) ja 2001:db8::10 (AAAA), TTL-iga 300. Harjutustsooni e-post asub aadressil mail.<code>.dnspractice.eu (192.0.2.25) koos MX-kirjega (prioriteet 10). Mängi läbi veebisaidi ülekanne:

1. Alanda www.<code>.dnspractice.eu kirjete TTL väärtuseni 60.
2. Lase www.<code>.dnspractice.eu osutada uuele serverile 198.51.100.10 ja eemalda AAAA-kirje: uuel serveril pole IPv6-d.
3. Vii www.<code>.dnspractice.eu TTL tagasi väärtuseni 300.
4. Jäta meilikirjed puutumata.

Harjutustsoon kasutab lühikesi TTL-e (30 kuni 300 sekundit), et sa ei peaks ootama; oma päris domeenil kasuta näiteks 3600 vaikeväärtusena ja 300 ülekande ajal.

Loe edasi

Nende artiklite sammud käsitlevad WebOké haldusliideseid; teistes haldusliidestes toimib see sarnaselt.

• Domeeni, veebilehe ja e-posti üheaegne kolimine ilma katkestuseta: tegevusplaan
• Kasuta oma domeeni jaoks enda või väliseid nameservereid (näiteks Cloudflare)
• Veebileht või e-post ei tööta pärast kolimist või DNS-muudatust: kontrolli oma domeeni
• DNS-i varukoopia tegemine ja taastamine
• E-posti vastuvõtmine domeeni ülekande ajal
• Vaata oma veebilehte WebOké juures üle, enne kui domeeninime üle viid
• DirectAdmin juhend 18.7: Minu domeen ei tööta veel pärast ülekannet või muudatust
• DirectAdmin juhend 18.8: Minu veebilehe testimine enne domeeni kolimist
• WebOké juhend 5.7: DNS taastamine ja DNS varukoopia tegemine
• WebOké juhend 5.8: DNSSEC ja DANE