DNS ved en flytning

Modul 6: Tid, cache og flytning · Læsetid: 10 minutter

Læringsmål: Efter denne lektion kan du planlægge en flytning af din hjemmeside, din e-mail eller din DNS-administration, så besøgende intet mærker, og du ikke mister mail.

Nøglebegreber: typer af flytning, rækkefølge, sænke TTL på forhånd, klargøre records, backup af zonen, test før skiftet (hosts-fil, test-/preview-adresse), mail under skiftet, kontrol hos registry på forhånd, DNSSEC og DS-recordet

Fire typer flytning

"Jeg flytter mit domæne" kan betyde fire forskellige ting. Det hjælper meget først at fastslå hvilken du mener, for hver type påvirker andre records.

Ofte sker flere af disse samtidig, for eksempel når du flytter alt fra den ene udbyder til den anden. Så gælder faldgruberne for alle fire på én gang.

Den gyldne rækkefølge

Det vigtigste princip: klargør først alt på det nye sted, skift derefter. Selve skiftet er en lille handling, nogle få records eller navneserverne. Alt det der kan gøres før skiftet, gør du før skiftet.

Et par dage i forvejen

1. Tag en backup af din nuværende zone. Eksportér recordene, tag et skærmbillede eller noter dem ned. Uden et overblik over hvad der stod, ved du bagefter ikke hvad der mangler. Mange kontrolpaneler har en knap til en DNS-backup.
2. Lav en oversigt. Gennemgå hver linje og skriv ned hvad den bruges til: hjemmeside, mail, verifikation hos Google eller Microsoft, en nyhedsbrevstjeneste, et subdomæne til en webshop. Netop de ekstra records (TXT til verifikation, CNAME til DKIM fra en nyhedsbrevstjeneste) bliver ofte glemt ved flytninger.
3. Klargør det nye miljø. Hjemmesiden ligger på den nye server, mailboksene findes hos den nye mailudbyder.
4. Test før skiftet. Du kan se en hjemmeside på en ny server uden at ændre DNS'en: med en linje i din hosts-fil, eller med en testadresse som den nye udbyder stiller til rådighed. Husk at fjerne den linje i hosts-filen bagefter.

Mindst én gammel TTL i forvejen

5. Sænk TTL'en for de records du skal ændre til 300 sekunder (lektion 6.1). Stod TTL'en på 3600, så gør det mindst en time i forvejen; for en sikkerheds skyld en dag. Stod den på 86400, så mindst en dag.

Bemærk: TTL'en for NS-recordene hos registry'en (lektion 6.2) kan du ikke selv sænke. Ved et navneserverskifte har du altid den ventetid.

Skiftet

6. Ændr recordene (ved flytning af hjemmeside eller e-mail), eller ændr navneserverne hos din registrar (ved flytning af DNS-administrationen).
7. Tjek straks hos den autoritative navneserver om de nye værdier står der (dig A example.com @ns1.newhost.example).

Bagefter

8. Tjek alt: hjemmeside via http og https, certifikatet, en testmail frem og tilbage, og et online tjek af MX, SPF, DKIM og DMARC.
9. Sæt TTL'en tilbage til 3600 når alt virker.
10. Opsig først den gamle tjeneste når der i et par dage ikke er kommet mail eller besøg på det gamle sted længere. Opsiger du for tidligt, kan din side eller mail forsvinde, eller i værste fald kan dit domæne blive frigivet.

En flytning af DNS-administrationen

Flytter du din DNS til en anden udbyder (andre navneservere), er der én ekstra regel: zonen skal stå komplet hos den nye udbyder, før du ændrer navneserverne. Fra tidspunktet for skiftet bestemmer den nye udbyder alle svar. Det der mangler der, findes ikke længere.

Tag denne liste med som minimum:

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (eller en CNAME)
mail       A      192.0.2.25        (hvis din MX peger på mail.example.com)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (selectoren varierer efter udbyder)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Plus alle subdomæner, verifikationsrecords og records fra eksterne tjenester.

Nogle registries tjekker de nye navneservere, før de accepterer ændringen. DENIC (registry for .de) tjekker for eksempel om de nye navneservere allerede svarer for domænet. Står zonen der endnu ikke, bliver ændringen afvist. Også derfor: klargør altid zonen først.

Eksempel fra praksis

Et domæne blev koblet til en sitebuilder ved at sætte navneserverne til den platform. Platformen satte selv et MX-record til mail.example.com og et SPF-record, men intet A-record for mail.example.com. Resultatet: det var muligt at sende mail, men ikke at modtage. Hver mailserver der ville levere mail, fandt ingen adresse til navnet fra MX'en. Ét A-record hos platformen løste det. Lektion: flytter du navneserverne, skal også ethvert record som et andet record peger på, med.

E-mail under skiftet

I overgangsperioden kommer en del af mailen stadig ind det gamle sted: afsendere med et gammelt svar i deres cache leverer der. Det er normalt og intet problem, så længe du læser begge mailbokse.

• Sæt den nye mailboks op i dit mailprogram allerede nu, med det servernavn som den nye udbyder angiver (ikke mail.example.com, for det navn peger under skiftet forskellige steder hen).
• Lad den gamle mailboks også blive stående i dit mailprogram, indtil der i et par dage ikke kommer noget ind længere.
• Kopiér gammel mail med et flytteværktøj fra den nye udbyder eller med et IMAP-kopieringsprogram.
• Glem ikke SPF-recordet ved en mailflytning: den nye udbyder skal med, og så længe den gamle stadig sender (for eksempel kontaktformularen på din hjemmeside) skal den også blive stående.

DNSSEC ved en flytning

Bruger dit domæne DNSSEC (lektion 8.1), står der hos registry'en et DS-record: et fingeraftryk af nøglen som din nuværende DNS-udbyder signerer zonen med. Flytter du din DNS-administration, signerer den nye udbyder med en anden nøgle. Bliver det gamle DS stående hos registry'en, passer fingeraftrykket ikke længere. Validerende resolvere (og der er mange af dem) giver så SERVFAIL: hele dit domæne er utilgængeligt for dem, både hjemmeside og mail.

Den sikre fremgangsmåde:

1. Få DS'et fjernet hos registry'en (DNSSEC slået fra) og vent til TTL'en for DS'et er udløbet.
2. Skift navneserverne.
3. Slå DNSSEC til hos den nye udbyder og få det nye DS placeret hos registry'en.

Der findes også en metode hvor du flytter uden afbrydelse af DNSSEC (nøglerne fra begge udbydere midlertidigt side om side), men den kræver medvirken fra begge parter og understøttes langtfra alle steder. Går noget alligevel galt ved en flytning, og er dit domæne pludselig utilgængeligt mens recordene ser korrekte ud, så tjek først DNSSEC.

I praksis: sådan ser det ud i et kontrolpanel

I eksempelpanelet Mit WebOké tager du en backup af hele zonen under fanen DNS med ét klik, og gendanner den med ét klik hvis noget går galt. En flytning af selve domænet starter du der i Flyttecenteret, og kortet Domæne / E-mail sundhed viser efter skiftet om navneservere, A-record, certifikat, MX, SPF, DMARC og DNSSEC er i orden. Andre udbydere tilbyder ofte en eksport af zonen (nogle gange som en zonefil du kan importere hos den nye udbyder) og et lignende tjek; har dit kontrolpanel ikke det, så tag et skærmbillede af recordlisten.

Opsummering

• Fastslå først hvad der flytter: hjemmeside, mail, DNS-administration eller registrering.
• Backup, oversigt, klargøring af det nye miljø og test skal ske før skiftet.
• Sænk TTL'en mindst én gammel TTL i forvejen og sæt den tilbage bagefter.
• Ved en flytning af DNS-administrationen skal zonen stå komplet hos den nye udbyder før navneserverskiftet; glem ikke records som mailserverens A-record.
• Med DNSSEC: fjern først det gamle DS, skift derefter, placér så det nye DS.
• Læs begge mailbokse under skiftet, og opsig først den gamle tjeneste når alt virker.

Quiz

Opgave

Opgave Z6.3: Flytteoversigt. Lav en flytteoversigt for dit eget domæne (eller, hvis du ikke har et domæne, for sidn.nl, SIDN's hjemmeside, registry'en for .nl i Nederlandene). Slå op og udfyld: navneserverne, A- og AAAA-recordene for @ og www, MX-recordene, SPF-recordet, DMARC-recordet og om der findes et DS-record. Programmet sammenligner hver værdi med det DNS'en svarer lige nu.

Opgave O6.3: Selv indstille i din øvelseszone. I din øvelseszone <code>.dnspractice.eu står der en lille "eksisterende" hjemmeside: www.<code>.dnspractice.eu peger på 192.0.2.10 (A) og 2001:db8::10 (AAAA), med TTL 300. Mailen for øvelseszonen ligger på mail.<code>.dnspractice.eu (192.0.2.25) med et MX-record (prioritet 10). Øv dig i en hjemmesideflytning:

1. Sænk TTL'en for recordene for www.<code>.dnspractice.eu til 60.
2. Lad www.<code>.dnspractice.eu pege på den nye server 198.51.100.10 og fjern AAAA-recordet: den nye server har ikke IPv6.
3. Sæt TTL'en for www.<code>.dnspractice.eu tilbage til 300.
4. Lad mailrecordene stå urørt.

Øvelseszonen bruger korte TTL'er (mellem 30 og 300 sekunder), så du ikke behøver at vente; på dit rigtige domæne bruger du for eksempel 3600 som standard og 300 under flytningen.

Videre læsning

Trinnene i disse artikler omhandler kontrolpanelerne hos WebOké; i andre kontrolpaneler fungerer det på en lignende måde.

• Flyt domæne, hjemmeside og e-mail samlet uden afbrydelser: trin for trin-planen
• Brug dine egne eller eksterne nameservers (som Cloudflare) til dit domæne
• Websted eller e-mail virker ikke efter en flytning eller DNS-ændring: kontroller dit domæne
• Lav en backup af din DNS, og gendan den
• Modtag e-mail, mens dit domænenavn flyttes
• Se din hjemmeside hos WebOké, før du flytter dit domænenavn
• DirectAdmin vejledning 18.7: Mit domæne virker ikke endnu efter en flytning eller ændring
• DirectAdmin vejledning 18.8: Teste min hjemmeside inden domænet er flyttet
• WebOké vejledning 5.7: DNS gendannelse og oprettelse af DNS-backup
• WebOké vejledning 5.8: DNSSEC og DANE