DNS ved en flytting

Modul 6: Tid, cache og flytting · Lesetid: 10 minutter

Læringsmål: Etter denne leksjonen kan du planlegge en flytting av nettstedet ditt, e-posten din eller DNS-forvaltningen din slik at besøkende ikke merker noe og du ikke mister e-post.

Nøkkelbegreper: typer flytting, rekkefølge, senke TTL på forhånd, klargjøre poster, sikkerhetskopi av sonen, testing før bytte (hosts-fil, forhåndsvisningsadresse), e-post under byttet, kontroll hos registeret på forhånd, DNSSEC og DS-posten

Fire typer flytting

«Jeg flytter domenet mitt» kan bety fire forskjellige ting. Det hjelper enormt å først finne ut hvilken du mener, for hver type påvirker ulike poster.

Ofte skjer flere ting samtidig, for eksempel når du flytter alt fra én leverandør til en annen. Da gjelder fallgruvene for alle fire samtidig.

Den gyldne rekkefølgen

Det viktigste prinsippet: klargjør alt på det nye stedet først, og bytt først deretter. Selve byttet er en liten handling, noen få poster eller navnetjenerne. Alt som kan gjøres før byttet, gjør du før byttet.

Noen dager i forveien

1. Ta en sikkerhetskopi av den nåværende sonen din. Eksporter postene, ta et skjermbilde eller noter dem ned. Uten oversikt over hva som sto der, vet du ikke i ettertid hva som mangler. Mange kontrollpaneler har en knapp for DNS-sikkerhetskopi.
2. Lag en oversikt. Gå gjennom hver linje og noter hva den brukes til: nettsted, e-post, verifisering hos Google eller Microsoft, en nyhetsbrevtjeneste, et underdomene for en nettbutikk. Det er nettopp disse ekstra postene (TXT for verifisering, CNAME for DKIM fra en nyhetsbrevtjeneste) som ofte glemmes ved flytting.
3. Klargjør det nye miljøet. Nettstedet ligger på den nye serveren, e-postkontoene finnes hos den nye e-postleverandøren.
4. Test før byttet. Du kan se på et nettsted på en ny server uten å endre DNS-en: med en linje i hosts-filen din, eller med en testadresse eller et forhåndsvisningsadresse som den nye leverandøren oppgir. Ikke glem å fjerne denne hosts-linjen etterpå.

Minst én gammel TTL i forveien

5. Senk TTL-en på postene du skal endre til 300 sekunder (leksjon 6.1). Sto TTL-en på 3600, gjør det minst en time i forveien; for sikkerhets skyld en dag. Sto den på 86400, gjør det minst en dag i forveien.

Vær oppmerksom: TTL-en til NS-postene hos registeret (leksjon 6.2) kan du ikke senke selv. Ved et navnetjenerbytte har du alltid denne ventetiden.

Byttet

6. Endre postene (ved flytting av nettsted eller e-post), eller endre navnetjenerne hos registraren din (ved flytting av DNS-forvaltningen).
7. Kontroller umiddelbart hos den autoritative navnetjeneren om de nye verdiene står der (dig A example.com @ns1.newhost.example).

Etterpå

8. Kontroller alt: nettstedet via http og https, sertifikatet, en testmelding frem og tilbake, og en nettbasert kontroll av MX, SPF, DKIM og DMARC.
9. Sett TTL-en tilbake til 3600 når alt fungerer.
10. Si opp den gamle tjenesten først når det ikke lenger kommer e-post eller besøk til det gamle stedet på noen dager. Sier du opp for tidlig, kan nettstedet eller e-posten din falle bort, eller i verste fall kan domenet ditt bli ledig igjen.

En flytting av DNS-forvaltningen

Flytter du DNS-en din til en annen part (andre navnetjenere), gjelder én ekstra regel: sonen må være komplett hos den nye parten før du endrer navnetjenerne. Fra øyeblikket av byttet bestemmer den nye parten alle svar. Det som mangler der, finnes ikke lenger.

Ta med denne listen som et minimum:

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (eller en CNAME)
mail       A      192.0.2.25        (hvis MX-en din peker til mail.example.com)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (selectoren varierer per leverandør)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Pluss alle underdomener, verifiseringsposter og poster fra eksterne tjenester.

Noen registre kontrollerer de nye navnetjenerne før de godtar endringen. DENIC (registeret for .de) sjekker for eksempel om de nye navnetjenerne allerede svarer for domenet. Står ikke sonen der ennå, blir endringen avvist. Også derfor: klargjør sonen først.

Eksempel fra praksis

Et domene ble koblet til en nettstedsbygger ved å peke navnetjenerne til den plattformen. Plattformen satte selv opp en MX-post til mail.example.com og en SPF-post, men ingen A-post for mail.example.com. Resultatet: å sende fungerte, å motta ikke. Hver e-postserver som skulle levere e-post, fant ingen adresse ved navnet fra MX-en. Én A-post hos plattformen løste det. Lærdom: flytter du navnetjenerne, må også hver post som en annen post peker til, følge med.

E-post under byttet

I overgangsperioden kommer en del e-post fortsatt inn på det gamle stedet: avsendere med et gammelt svar i cachen sin leverer dit. Det er normalt og ikke noe problem, så lenge du leser begge e-postkontoene.

• Sett opp den nye e-postkontoen allerede nå i e-postprogrammet ditt, med servernavnet som den nye leverandøren oppgir (ikke mail.example.com, for det navnet peker til skiftende steder under byttet).
• La den gamle e-postkontoen bli stående i e-postprogrammet ditt til det ikke kommer noe mer inn på noen dager.
• Kopier gammel e-post med et flytteverktøy fra den nye leverandøren eller med et IMAP-kopieringsprogram.
• Ikke glem SPF-posten ved en e-postflytting: den nye leverandøren må inn i den, og så lenge den gamle fortsatt sender (for eksempel kontaktskjemaet på nettstedet ditt) må den også forbli der.

DNSSEC ved en flytting

Bruker domenet ditt DNSSEC (leksjon 8.1), står det en DS-post hos registeret: et fingeravtrykk av nøkkelen som den nåværende DNS-leverandøren din signerer sonen med. Flytter du DNS-forvaltningen din, signerer den nye leverandøren med en annen nøkkel. Blir den gamle DS-en stående hos registeret, passer ikke fingeravtrykket lenger. Validerende resolvere (og det er mange av dem) gir da SERVFAIL: hele domenet ditt er utilgjengelig for dem, både nettsted og e-post.

Den trygge fremgangsmåten:

1. Få DS-en fjernet hos registeret (DNSSEC av) og vent til TTL-en til DS-en er utløpt.
2. Bytt navnetjenerne.
3. Slå på DNSSEC hos den nye leverandøren og få den nye DS-en lagt inn hos registeret.

Det finnes også en metode der du flytter uten avbrudd i DNSSEC (nøklene til begge parter side om side midlertidig), men den krever samarbeid fra begge parter og støttes langt fra overalt. Går noe likevel galt ved en flytting og domenet ditt plutselig blir utilgjengelig mens postene ser riktige ut, kontroller da DNSSEC først.

I praksis: slik ser det ut i et kontrollpanel

I eksempelpanelet Min side tar du en sikkerhetskopi av hele sonen på fanen DNS med én knapp, og gjenoppretter den med ett klikk hvis noe går galt. En flytting av selve domenet starter du der i Flyttesenteret, og kortet Domain / Email gezondheid viser etter byttet om navnetjenere, A-post, sertifikat, MX, SPF, DMARC og DNSSEC stemmer. Andre leverandører tilbyr ofte en eksport av sonen (noen ganger som en sonefil du kan importere hos den nye leverandøren) og en lignende kontroll; har kontrollpanelet ditt ikke dette, ta da et skjermbilde av postlisten.

Oppsummering

• Finn først ut hva som flyttes: nettsted, e-post, DNS-forvaltning eller registrering.
• Sikkerhetskopi, oversikt, klargjøring av nytt miljø og testing skjer før byttet.
• Senk TTL-en minst én gammel TTL i forveien og sett den tilbake etterpå.
• Ved flytting av DNS-forvaltningen må sonen være komplett hos den nye leverandøren før navnetjenerbyttet; ikke glem poster som A-posten til e-postserveren.
• Med DNSSEC: fjern den gamle DS-en først, bytt deretter, og legg inn den nye DS-en til slutt.
• Les begge e-postkontoene under byttet og si opp den gamle tjenesten først når alt fungerer.

Quiz

Oppgave

Oppgave Z6.3: Flytteoversikt. Lag en flytteoversikt for ditt eget domene (eller, hvis du ikke har noe domene, for sidn.nl, nettstedet til SIDN, registeret for .nl i Nederland). Finn og fyll inn: navnetjenerne, A- og AAAA-postene til @ og www, MX-postene, SPF-posten, DMARC-posten og om det finnes en DS-post. Programmet sammenligner hver verdi med det DNS-en svarer nå.

Oppgave O6.3: Still inn selv i øvingssonen din. I øvingssonen din <code>.dnspractice.eu finnes det et lite «eksisterende» nettsted: www.<code>.dnspractice.eu peker til 192.0.2.10 (A) og 2001:db8::10 (AAAA), med TTL 300. E-posten til øvingssonen ligger på mail.<code>.dnspractice.eu (192.0.2.25) med en MX-post (prioritet 10). Spill gjennom en nettstedsflytting:

1. Senk TTL-en til postene til www.<code>.dnspractice.eu til 60.
2. La www.<code>.dnspractice.eu peke til den nye serveren 198.51.100.10 og fjern AAAA-posten: den nye serveren har ikke IPv6.
3. Sett TTL-en til www.<code>.dnspractice.eu tilbake til 300.
4. La e-postpostene være urørt.

Øvingssonen bruker korte TTL-er (mellom 30 og 300 sekunder), slik at du ikke trenger å vente; på ditt ekte domene bruker du for eksempel 3600 som standard og 300 under flyttingen.

Les mer

Trinnene i disse artiklene gjelder kontrollpanelene til WebOké; i andre kontrollpaneler fungerer det på lignende måte.

• Flytt domene, nettside og e-post samtidig, uten driftsstans: steg-for-steg-planen
• Bruk egne eller eksterne nameservere (som Cloudflare) for domenet ditt
• Nettsiden eller e-posten fungerer ikke etter en flytting eller DNS-endring: sjekk domenet ditt
• Ta en backup av DNS-en din og gjenopprett den
• Motta e-post mens domenenavnet flyttes
• Se nettstedet ditt hos WebOké før du flytter domenenavnet
• DirectAdmin-veiledning 18.7: Domenet mitt fungerer ikke ennå etter en flytting eller endring
• DirectAdmin-veiledning 18.8: Teste nettstedet mitt før domenet er flyttet
• WebOké-veiledning 5.7: Tilbakestille DNS og lage en DNS-sikkerhetskopi
• WebOké-veiledning 5.8: DNSSEC og DANE