DNS pri prenosu domene

Modul 6: Čas, predpomnilnik in prenos · Čas branja: 10 minut

Cilj lekcije: Po tej lekciji boste znali tako načrtovati prenos svoje spletne strani, e-pošte ali upravljanja DNS, da obiskovalci tega ne bodo opazili in da ne boste izgubili nobene e-pošte.

Ključni pojmi: vrste prenosa, vrstni red, vnaprejšnje znižanje TTL, priprava zapisov, varnostna kopija cone, testiranje pred preklopom (datoteka hosts, naslov za sočasno spremljanje), e-pošta med preklopom, vnaprejšnje preverjanje pri registru, DNSSEC in DS zapis

Štiri vrste prenosa

"Prenašam svojo domeno" lahko pomeni štiri različne stvari. Zelo pomaga, če najprej določite, kaj imate v mislih, saj vsaka vrsta vpliva na druge zapise.

Pogosto se zgodi več teh hkrati, na primer če vse prenašate od enega ponudnika k drugemu. Takrat veljajo pasti vseh štirih hkrati.

Zlati vrstni red

Najpomembnejše načelo: najprej vse pripravite na novem mestu, šele nato preklopite. Sam preklop je majhen poseg, nekaj zapisov ali imenski strežniki. Vse, kar lahko storite pred preklopom, storite pred preklopom.

Nekaj dni vnaprej

1. Naredite varnostno kopijo trenutne cone. Izvozite zapise, naredite posnetek zaslona ali jih zapišite. Brez pregleda tega, kar je bilo, naknadno ne boste vedeli, kaj manjka. Veliko nadzornih plošč ima gumb za varnostno kopijo DNS.
2. Naredite popis. Preglejte vsako vrstico in zapišite, čemu služi: spletna stran, e-pošta, preverjanje pri Google ali Microsoft, storitev za e-novice, poddomena za spletno trgovino. Prav ti dodatni zapisi (TXT za preverjanje, CNAME za DKIM storitve e-novic) se pri prenosih pogosto pozabijo.
3. Pripravite novo okolje. Spletna stran je na novem strežniku, nabiralniki obstajajo pri novem ponudniku e-pošte.
4. Testirajte pred preklopom. Spletno stran na novem strežniku si lahko ogledate, ne da bi spremenili DNS: z vrstico v datoteki hosts ali s testnim naslovom oziroma naslovom za sočasno spremljanje, ki ga poda novi ponudnik. Po koncu ne pozabite odstraniti te vrstice v datoteki hosts.

Vsaj en star TTL vnaprej

5. Znižajte TTL zapisov, ki jih boste spreminjali, na 300 sekund (lekcija 6.1). Če je bil TTL nastavljen na 3600, to storite vsaj eno uro vnaprej; za vsak primer raje dan vnaprej. Če je bil nastavljen na 86400, to storite vsaj dan vnaprej.

Pozor: TTL zapisov NS pri registru (lekcija 6.2) ne morete sami znižati. Pri menjavi imenskih strežnikov vedno velja ta čakalna doba.

Preklop

6. Spremenite zapise (pri prenosu spletne strani ali e-pošte), ali spremenite imenske strežnike pri svojem registrarju (pri prenosu upravljanja DNS).
7. Takoj preverite pri avtoritativnem imenskem strežniku, ali so nove vrednosti že tam (dig A example.com @ns1.newhost.example).

Po tem

8. Preverite vse: spletno stran prek http in https, certifikat, testno e-pošto v obe smeri ter spletno preverjanje zapisov MX, SPF, DKIM in DMARC.
9. Vrnite TTL nazaj na 3600, ko vse deluje.
10. Staro storitev odpovejte šele, ko na staro mesto nekaj dni ne prihaja več nobena e-pošta ali obisk. Če odpoveste prej, lahko Vaša stran ali e-pošta odpade, v najslabšem primeru pa se lahko Vaša domena sprosti.

Prenos upravljanja DNS

Če prenašate svoj DNS k drugemu ponudniku (drugi imenski strežniki), velja eno dodatno pravilo: cona mora biti v celoti pripravljena pri novem ponudniku, preden spremenite imenske strežnike. Od trenutka preklopa naprej vse odgovore določa novi ponudnik. Kar tam manjka, ne obstaja več.

Vzemite ta seznam kot minimum:

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (ali CNAME)
mail       A      192.0.2.25        (če Vaš MX kaže na mail.example.com)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (selektor se razlikuje glede na ponudnika)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Poleg vseh poddomen, zapisov za preverjanje in zapisov zunanjih storitev.

Nekateri registri preverijo nove imenske strežnike, preden sprejmejo spremembo. DENIC (register domene .de) na primer preveri, ali novi imenski strežniki že odgovarjajo za domeno. Če cona še ni pripravljena, se sprememba zavrne. Tudi zato: najprej pripravite cono.

Primer iz prakse

Domena je bila povezana s spletnim gradnikom tako, da so imenski strežniki kazali na to platformo. Platforma je sama nastavila zapis MX na mail.example.com in zapis SPF, ni pa nastavila zapisa A za mail.example.com. Rezultat: pošiljanje je delovalo, prejemanje ne. Vsak strežnik za pošto, ki je želel dostaviti e-pošto, ni našel naslova pri imenu iz zapisa MX. Rešitev je bil en sam zapis A pri platformi. Nauk: če prenašate imenske strežnike, mora z njimi tudi vsak zapis, na katerega se sklicuje drug zapis.

E-pošta med preklopom

Med prehodnim obdobjem del e-pošte še vedno prihaja na staro mesto: pošiljatelji, ki imajo v predpomnilniku star odgovor, dostavijo tja. To je normalno in ni težava, dokler berete oba nabiralnika.

• Nov nabiralnik že vnaprej nastavite v svojem poštnem programu, z imenom strežnika, ki ga poda novi ponudnik (ne mail.example.com, saj to ime med preklopom kaže na spreminjajoča se mesta).
• Stari nabiralnik pustite v poštnem programu, dokler nekaj dni ne prejmete ničesar več.
• Staro e-pošto kopirajte z orodjem za prenos novega ponudnika ali s programom za kopiranje prek IMAP.
• Pri prenosu e-pošte ne pozabite na zapis SPF: novega ponudnika je treba vanj dodati, dokler stari še vedno pošilja (na primer kontaktni obrazec Vaše spletne strani), pa mora ostati tudi ta.

DNSSEC pri prenosu

Če Vaša domena uporablja DNSSEC (lekcija 8.1), je pri registru naveden DS zapis: prstni odtis ključa, s katerim Vaš trenutni ponudnik DNS podpisuje cono. Če prenesete upravljanje DNS, bo novi ponudnik podpisoval z drugim ključem. Če stari DS ostane pri registru, prstni odtis ne bo več ustrezal. Validacijski razreševalniki (teh je veliko) bodo takrat vrnili SERVFAIL: cela Vaša domena bo zanje nedosegljiva, tako spletna stran kot e-pošta.

Varen pristop:

1. Pri registru odstranite DS (izklopite DNSSEC) in počakajte, da poteče TTL zapisa DS.
2. Zamenjajte imenske strežnike.
3. Pri novem ponudniku vklopite DNSSEC in pri registru vpišite nov zapis DS.

Obstaja tudi metoda, s katero prenesete brez prekinitve DNSSEC (ključi obeh ponudnikov začasno delujejo vzporedno), vendar ta zahteva sodelovanje obeh strani in še zdaleč ni povsod podprta. Če med prenosom kaj steče narobe in je Vaša domena nenadoma nedosegljiva, čeprav se zapisi zdijo pravilni, najprej preverite DNSSEC.

V praksi: tako je videti v nadzorni plošči

V vzorčni nadzorni plošči Moj WebOké z enim klikom naredite varnostno kopijo celotne cone na zavihku DNS in jo z enim klikom tudi povrnete, če kaj zataji. Prenos same domene začnete tam v Centru za prenos, kartica Zdravje domene / e-pošte pa po preklopu pokaže, ali so imenski strežniki, zapis A, certifikat, MX, SPF, DMARC in DNSSEC pravilni. Drugi ponudniki pogosto omogočajo izvoz cone (včasih kot datoteko cone, ki jo lahko uvozite pri novem ponudniku) in podobno preverjanje; če Vaša nadzorna plošča tega nima, naredite posnetek zaslona seznama zapisov.

Povzetek

• Najprej določite, kaj se prenaša: spletna stran, e-pošta, upravljanje DNS ali registracija.
• Varnostna kopija, popis, priprava novega okolja in testiranje potekajo pred preklopom.
• Znižajte TTL vsaj en star TTL vnaprej in ga po tem vrnite nazaj.
• Pri prenosu upravljanja DNS mora biti cona v celoti pripravljena pri novem ponudniku pred zamenjavo imenskih strežnikov; ne pozabite na zapise, kot je zapis A poštnega strežnika.
• Z DNSSEC: najprej odstranite stari DS, nato preklopite, nato vpišite nov DS.
• Med preklopom berite oba nabiralnika in staro storitev odpovejte šele, ko vse deluje.

Kviz

Naloga

Naloga Z6.3: Popis za prenos. Naredite popis za prenos svoje domene (ali, če nimate domene, za sidn.nl, spletno stran SIDN, registra domene .nl na Nizozemskem). Poiščite in vpišite: imenske strežnike, zapisa A in AAAA za @ in www, zapise MX, zapis SPF, zapis DMARC in ali obstaja zapis DS. Program primerja vsako vrednost s tem, kar DNS trenutno vrača.

Naloga O6.3: Samostojna nastavitev v vadbeni coni. V Vaši vadbeni coni <code>.dnspractice.eu je majhna "obstoječa" spletna stran: www.<code>.dnspractice.eu kaže na 192.0.2.10 (A) in 2001:db8::10 (AAAA), s TTL 300. E-pošta vadbene cone je na mail.<code>.dnspractice.eu (192.0.2.25) z zapisom MX (prioriteta 10). Odigrajte prenos spletne strani:

1. Znižajte TTL zapisov za www.<code>.dnspractice.eu na 60.
2. Nastavite, da www.<code>.dnspractice.eu kaže na nov strežnik 198.51.100.10, in odstranite zapis AAAA: novi strežnik nima IPv6.
3. Vrnite TTL za www.<code>.dnspractice.eu nazaj na 300.
4. Zapisov za e-pošto ne spreminjajte.

Vadbena cona uporablja kratke TTL-je (med 30 in 300 sekundami), da Vam ni treba čakati; pri Vaši pravi domeni uporabite na primer 3600 kot privzeto vrednost in 300 med prenosom.

Za nadaljnje branje

Koraki v teh člankih se nanašajo na nadzorne plošče WebOké; pri drugih nadzornih ploščah deluje podobno.

• Selitev domene, spletne strani in e-pošte hkrati brez prekinitev: načrt po korakih
• Uporaba lastnih ali zunanjih imenskih strežnikov (nameserver, npr. Cloudflare) za Vašo domeno
• Spletna stran ali e-pošta ne deluje po selitvi ali spremembi DNS: preverite svojo domeno
• Izdelava in obnova varnostne kopije DNS
• Prejemanje e-pošte med prenosom domene
• Oglejte si svoje spletno mesto pri WebOké, preden prenesete domensko ime
• Priročnik DirectAdmin 18.7: Moja domena še ne deluje po prenosu ali spremembi
• Priročnik DirectAdmin 18.8: Moje spletno mesto preizkusite, preden je domena preseljena
• Priročnik WebOké 5.7: Obnovitev DNS in varnostna kopija DNS
• Priročnik WebOké 5.8: DNSSEC in DANE