DNS vid en flytt

Modul 6: Tid, cache och flytt · Lästid: 10 minuter

Lärandemål: Efter den här lektionen kan du planera en flytt av din webbplats, din e-post eller din DNS-hantering så att besökarna inte märker något och du inte missar någon e-post.

Nyckelbegrepp: typer av flytt, ordning, sänka TTL i förväg, förbereda poster, säkerhetskopia av zonen, testa före växlingen (hosts-fil, förhandstittsadress), e-post under växlingen, kontroll hos registry i förväg, DNSSEC och DS-posten

Fyra typer av flytt

"Jag flyttar min domän" kan betyda fyra olika saker. Det hjälper enormt att först fastställa vilken du menar, eftersom varje typ påverkar olika poster.

Ofta sker flera av dessa samtidigt, till exempel när du flyttar allt från en leverantör till en annan. Då gäller fallgroparna för alla fyra.

Den gyllene ordningen

Den viktigaste principen: förbered allt på den nya platsen först, byt sedan. Själva växlingen är en liten åtgärd, några poster eller namnservrarna. Allt som kan göras före växlingen, gör du före växlingen.

Några dagar i förväg

1. Gör en säkerhetskopia av din nuvarande zon. Exportera posterna, ta en skärmdump eller skriv ner dem. Utan en översikt över vad som fanns vet du inte i efterhand vad som saknas. Många paneler har en knapp för DNS-säkerhetskopiering.
2. Gör en inventering. Gå igenom varje rad och skriv ner vad den används till: webbplats, e-post, verifiering hos Google eller Microsoft, en nyhetsbrevstjänst, en subdomän för en webbutik. Just sådana extra poster (TXT för verifiering, CNAME för DKIM från en nyhetsbrevstjänst) glöms ofta bort vid flyttar.
3. Förbered den nya miljön. Webbplatsen finns på den nya servern, e-postkontona finns hos den nya e-postleverantören.
4. Testa före växlingen. Du kan granska en webbplats på en ny server utan att ändra DNS:en: med en rad i din hosts-fil, eller med en testadress eller förhandstittsadress som den nya leverantören anger. Glöm inte att ta bort den där hosts-raden efteråt.

Minst en gammal TTL i förväg

5. Sänk TTL:n för de poster du ska ändra till 300 sekunder (lektion 6.1). Stod TTL:n på 3600, gör det då minst en timme i förväg; för säkerhets skull en dag. Stod den på 86400, då minst en dag.

Observera: TTL:n för NS-posterna hos registry (lektion 6.2) kan du inte sänka själv. Vid en namnserverbyte har du alltid den väntetiden.

Växlingen

6. Ändra posterna (vid en flytt av webbplats eller e-post), eller ändra namnservrarna hos din registrar (vid en flytt av DNS-hanteringen).
7. Kontrollera direkt hos den auktoritativa namnservern om de nya värdena finns där (dig A example.com @ns1.newhost.example).

Efteråt

8. Kontrollera allt: webbplatsen via http och https, certifikatet, ett testmejl fram och tillbaka, och en online-kontroll av MX, SPF, DKIM och DMARC.
9. Återställ TTL:n till 3600 när allt fungerar.
10. Säg upp den gamla tjänsten först när det har gått några dagar utan e-post eller besök på den gamla platsen. Säger du upp tidigare kan din webbplats eller e-post försvinna, eller i värsta fall kan domänen bli ledig.

En flytt av DNS-hanteringen

Flyttar du din DNS till en annan part (andra namnservrar), finns det en extra regel: zonen måste vara komplett hos den nya parten innan du ändrar namnservrarna. Från och med växlingen bestämmer den nya parten alla svar. Det som saknas där finns inte längre.

Ta med den här listan som minimum:

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (eller en CNAME)
mail       A      192.0.2.25        (om din MX pekar mot mail.example.com)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (selektorn skiljer sig mellan leverantörer)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Plus alla subdomäner, verifieringsposter och poster för externa tjänster.

Vissa registries kontrollerar de nya namnservrarna innan de godkänner ändringen. DENIC (registry för .de) kontrollerar till exempel om de nya namnservrarna redan svarar för domänen. Finns zonen inte där ännu avvisas ändringen. Även därför: förbered zonen först.

Exempel från verkligheten

En domän kopplades till en webbplatsbyggare genom att namnservrarna sattes till den plattformen. Plattformen satte själv en MX-post mot mail.example.com och en SPF-post, men ingen A-post för mail.example.com. Resultatet: att skicka fungerade, att ta emot gjorde det inte. Varje mailserver som ville leverera e-post hittade ingen adress för namnet från MX. En enda A-post hos plattformen löste det. Läxan: flyttar du namnservrarna måste också varje post som en annan post pekar mot följa med.

E-post under växlingen

Under övergångsperioden kommer en del av e-posten fortfarande in på den gamla platsen: avsändare med ett gammalt svar i sin cache levererar dit. Det är normalt och inget problem, så länge du läser båda brevlådorna.

• Lägg till den nya brevlådan redan nu i ditt e-postprogram, med servernamnet som den nya leverantören anger (inte mail.example.com, eftersom det namnet pekar mot olika platser under växlingen).
• Låt den gamla brevlådan ligga kvar i ditt e-postprogram tills det inte kommit något nytt på några dagar.
• Kopiera gammal e-post med ett flyttverktyg från den nya leverantören eller med ett IMAP-kopieringsprogram.
• Glöm inte SPF-posten vid en e-postflytt: den nya leverantören måste finnas med, och så länge den gamla fortfarande skickar (till exempel kontaktformuläret på din webbplats) måste den också finnas kvar.

DNSSEC vid en flytt

Använder din domän DNSSEC (lektion 8.1) finns det en DS-post hos registry: ett fingeravtryck av nyckeln som din nuvarande DNS-leverantör signerar zonen med. Flyttar du din DNS-hantering signerar den nya leverantören med en annan nyckel. Blir den gamla DS kvar hos registry passar inte fingeravtrycket längre. Validerande resolvrar (och det finns många) ger då SERVFAIL: hela din domän blir onåbar för dem, både webbplats och e-post.

Det säkra tillvägagångssättet:

1. Låt DS tas bort hos registry (DNSSEC av) och vänta tills TTL:n för DS har löpt ut.
2. Byt namnservrarna.
3. Aktivera DNSSEC hos den nya leverantören och låt den nya DS läggas till hos registry.

Det finns även en metod för att flytta utan avbrott i DNSSEC (båda parternas nycklar tillfälligt sida vid sida), men den kräver medverkan från båda parter och stöds långt ifrån överallt. Går något fel vid en flytt och blir din domän plötsligt onåbar trots att posterna ser korrekta ut, kontrollera då först DNSSEC.

I praktiken: så här ser det ut i en panel

I exempelpanelen Mitt WebOké gör du en säkerhetskopia av hela zonen på fliken DNS med en knapp, och återställer den med ett klick om något går fel. En flytt av själva domänen startar du där i Flyttcentret, och kortet Domän/E-post hälsa visar efter växlingen om namnservrar, A-post, certifikat, MX, SPF, DMARC och DNSSEC stämmer. Andra leverantörer erbjuder ofta en export av zonen (ibland som en zonfil du kan importera hos den nya parten) och en liknande kontroll; har din panel inte det, ta då en skärmdump av postlistan.

Sammanfattning

• Fastställ först vad som flyttar: webbplats, e-post, DNS-hantering eller registrering.
• Säkerhetskopia, inventering, förbereda ny miljö och testa görs före växlingen.
• Sänk TTL:n minst en gammal TTL i förväg och återställ den efteråt.
• Vid en flytt av DNS-hanteringen måste zonen vara komplett hos den nya parten innan namnserverbytet; glöm inte poster som mailserverns A-post.
• Med DNSSEC: ta först bort den gamla DS:en, byt sedan, lägg sedan till den nya DS:en.
• Läs båda brevlådorna under växlingen och säg upp den gamla tjänsten först när allt fungerar.

Quiz

Uppgift

Uppgift Z6.3: Flyttinventering. Gör en flyttinventering av din egen domän (eller, om du inte har en domän, av sidn.nl). Sök upp och fyll i: namnservrarna, A- och AAAA-posterna för @ och www, MX-posterna, SPF-posten, DMARC-posten och om det finns en DS-post. Programmet jämför varje värde med vad DNS:en svarar just nu.

Uppgift O6.3: Ställa in själv i din övningszon. I din övningszon <code>.dnspractice.eu finns en liten "befintlig" webbplats: www.<code>.dnspractice.eu pekar mot 192.0.2.10 (A) och 2001:db8::10 (AAAA), med TTL 300. E-posten för övningszonen ligger på mail.<code>.dnspractice.eu (192.0.2.25) med en MX-post (prioritet 10). Återskapa en flytt av en webbplats:

1. Sänk TTL:n för posterna för www.<code>.dnspractice.eu till 60.
2. Låt www.<code>.dnspractice.eu peka mot den nya servern 198.51.100.10 och ta bort AAAA-posten: den nya servern har inte IPv6.
3. Återställ TTL:n för www.<code>.dnspractice.eu till 300.
4. Lämna e-postposterna orörda.

Övningszonen använder korta TTL:er (mellan 30 och 300 sekunder), så att du inte behöver vänta; för din riktiga domän använder du till exempel 3600 som standard och 300 under flytten.

Läs mer

Stegen i dessa artiklar gäller panelerna hos WebOké; i andra paneler fungerar det på liknande sätt.

• Flytta domän, webbplats och e-post tillsammans utan driftstopp: steg-för-steg-guiden
• Använd egna eller externa nameservers (som Cloudflare) för din domän
• Webbplatsen eller e-posten fungerar inte efter en flytt eller DNS-ändring: kontrollera din domän
• Gör en backup av din DNS och återställ den
• Ta emot e-post medan domännamnet flyttas
• Visa din webbplats hos WebOké innan du flyttar domännamnet
• DirectAdmin-guide 18.7: Min domän fungerar inte efter en flytt eller ändring
• DirectAdmin-guide 18.8: Testa min webbplats innan domänen har flyttats
• WebOké manual 5.7: Återställa DNS och skapa en DNS-backup
• WebOké manual 5.8: DNSSEC och DANE