So wechseln Sie den DNS-Anbieter ohne Ausfallzeit
Eine DNS-Migration geht aus einem von zwei Gründen schief: Ein Eintrag wurde nie übertragen, oder die Umstellung geschah, bevor Caches überall Zeit hatten aufzuholen. Beides lässt sich mit derselben Sorgfalt jedes Mal vermeiden.
Vor dem Start: Alles exportieren
Erstellen Sie eine vollständige, wörtliche Kopie jedes Eintrags beim aktuellen Anbieter — eine Exportdatei, falls vorhanden, Screenshots, falls nicht. Achten Sie besonders auf anbieterspezifische Eintragstypen wie ALIAS oder ANAME an der Root-Domain, da nicht jeder neue Anbieter sie gleich, oder überhaupt, umsetzt.
TTL vorab senken
Senken Sie 24 bis 48 Stunden vor der Migration die TTL jedes Eintrags, den Sie ändern werden, auf etwas Kurzes wie 300 Sekunden. So verwerfen Resolver ihre zwischengespeicherten Antworten nach der Umstellung schnell, statt die alten Einträge noch für die verbleibende, meist deutlich längere TTL-Dauer auszuliefern.
Zuerst jeden Eintrag beim neuen Anbieter neu anlegen
Bauen Sie die vollständige Zone beim neuen Anbieter auf, während die Nameserver der Domain noch auf den alten zeigen. Viele Anbieter lassen Sie deren Nameserver direkt abfragen, sodass Sie bestätigen können, dass jeder Eintrag korrekt auflöst, bevor irgendetwas live geht.
Die eigentliche Umstellung
Ändern Sie beim Registrar der Domain die Nameserver auf die des neuen Anbieters. Das ist der einzige Schritt, der sich vorab nicht testen lässt — ab diesem Punkt hängt es allein davon ab, welche Resolver die neuen Nameserver bereits übernommen haben, welche Einträge die Welt sieht.
Vor der Erledigt-Meldung bestätigen
Prüfen Sie die Propagation über viele Resolver weltweit, nicht nur über Ihre eigene Verbindung — dass der Resolver Ihres eigenen Internetanbieters die neuen Einträge hat, sagt nichts über alle anderen aus.
Sobald es stabil ist
Sobald die Propagation vollständig aussieht und ein oder zwei Tage nichts kaputtgegangen ist, setzen Sie die TTLs wieder auf einen normalen Wert — dauerhaft kurze TTLs bedeuten dauerhaft mehr DNS-Abfragen ohne fortlaufenden Nutzen.
Was vergessen wird
- MX- oder TXT-Einträge — E-Mail läuft nach einer Migration eine Weile auf zwischengespeicherten Antworten weiter, sodass ein fehlender MX-Eintrag erst nach Tagen als echtes Problem auffällt
- CAA-Einträge, die einschränken, welche Zertifizierungsstellen für die Domain ausstellen dürfen — ein ausgelassener CAA-Eintrag kann eine routinemäßige Zertifikatsverlängerung scheitern lassen, ohne offensichtlichen Zusammenhang mit der DNS-Migration, die die Ursache war
- DNSSEC — ist es aktiviert, muss der DS-Eintrag beim Registrar mit den Schlüsseln des neuen Anbieters abgestimmt werden, sonst kann die Domain für validierende Resolver komplett unerreichbar werden, statt nur veraltete Daten auszuliefern
Propagation vor und nach der Umstellung prüfen
Sehen Sie die Theorie in der Praxis — führen Sie DNS-Propagierungs-Checker für Ihre eigene Domain aus.