Jak bezpiecznie zmienić dostawcę DNS bez przestoju
Migracja DNS psuje się z jednego z dwóch powodów: rekord nigdy nie został skopiowany, albo zmiana nastąpiła, zanim cache wszędzie zdążył się odświeżyć. Obu można uniknąć, poświęcając za każdym razem tyle samo staranności.
Zanim zaczniesz: wyeksportuj wszystko
Zrób kompletną, dosłowną kopię każdego rekordu u obecnego dostawcy — plik eksportu, jeśli istnieje, zrzuty ekranu, jeśli nie. Zwróć szczególną uwagę na rekordy specyficzne dla dostawcy, jak ALIAS czy ANAME na domenie głównej, bo nie każdy nowy dostawca implementuje je tak samo — albo wcale.
Obniż TTL z wyprzedzeniem
24-48 godzin przed migracją obniż TTL każdego rekordu, który zamierzasz zmienić, do czegoś krótkiego, jak 300 sekund. Dzięki temu resolvery szybko porzucą zapisane w cache odpowiedzi po zmianie, zamiast serwować stare rekordy przez cały pozostały czas poprzedniego, zwykle znacznie wyższego, TTL.
Najpierw odtwórz każdy rekord u nowego dostawcy
Zbuduj całą strefę u nowego dostawcy, podczas gdy serwery nazw domeny wciąż wskazują na starego. Wielu dostawców pozwala zapytać ich serwery nazw bezpośrednio, więc możesz potwierdzić, że każdy rekord poprawnie się rozwiązuje, zanim cokolwiek pójdzie na żywo.
Właściwa zmiana
Zmień serwery nazw domeny u rejestratora na te nowego dostawcy. To jedyny krok, którego nie da się wcześniej przetestować — od tego momentu to, które rekordy widzi świat, zależy wyłącznie od tego, które resolvery zdążyły już pobrać nowe serwery nazw.
Potwierdź, zanim uznasz to za zakończone
Sprawdź propagację na wielu resolverach na całym świecie, nie tylko na własnym łączu, bo to, że resolver Twojego dostawcy internetu ma nowe rekordy, nic nie mówi o pozostałych.
Gdy jest już stabilnie
Gdy propagacja wygląda na kompletną i przez dzień lub dwa nic się nie zepsuło, podnieś TTL z powrotem do normalnej wartości — trwale krótki TTL oznacza trwale więcej zapytań DNS bez żadnej dalszej korzyści.
Co się zapomina
- Rekordy MX lub TXT — poczta jeszcze jakiś czas działa na zapisanych w cache odpowiedziach po migracji, więc pominięty rekord MX może ujawnić się jako realny problem dopiero po kilku dniach
- Rekordy CAA ograniczające, które urzędy certyfikacji mogą wystawiać certyfikaty dla domeny — pominięty rekord CAA może sprawić, że rutynowe odnowienie certyfikatu zawiedzie bez oczywistego związku z migracją DNS, która to spowodowała
- DNSSEC — jeśli jest włączony, rekord DS u rejestratora musi być skoordynowany z kluczami nowego dostawcy, inaczej domena może stać się niedostępna dla weryfikujących resolverów, zamiast po prostu serwować nieaktualne dane
Sprawdź propagację przed i po zmianie
Zobacz teorię w praktyce — uruchom Sprawdzanie propagacji DNS dla własnej domeny.