מדריך צעד אחר צעד כדי להעביר את רישומי הדנ"ס של הדומיין שלך בצורה בטוחה

הבנת DNS ומדוע הגירה בטוחה

מערכת שם הדומיין (DNS) היא חוברת הטלפון של האינטרנט.כאשר מישהו ממיין את התחום שלך לדפדפן, DNS מתרגם את השם האנושי לקריאה לכתובת IP שבו האתר שלך, הדואר האלקטרוני או שירותים אחרים מתארחים.הכנת רשומות ה- DNS שלך מספק אחד למשנהו - או עדכון אותם בתוך אותו ספק - משנה כיצד העולם מגיע לנכסים הדיגיטליים שלך.

הגירה בטוחה פירושה אפס או ליד אפס זמן, ללא אובדן שירות, ואין חשיפה בלתי מכוונת לפגיעות.מדריך מורחב זה הולך אותך בכל שלב, מגילוי ראשוני ועד אימות סופי, כך שתוכל לעבור עם ביטחון.We'll Cover Types, TTL אופטימיזציה, אסטרטגיות גיבוי, שמות משתנים, פיקוח תומך, ומכשולים משותפים - כל כך ברור, צעדים ברורים, מעשיים.

מקורות חיצוניים כגון:0.WEB מרכז הלמידה של DNS של DNS של ההרחבה 1:1 ו- (FLT:2ICANNN של ההרחבה DNS, מספק הקשר בסיסי, אבל מדריך זה מתמקד בצעדים התפעוליים שאתה צריך לבצע.

הכנה לפני הגירה

הכנה נכונה היא הגורם החשוב ביותר בגירת DNS בטוחה.הבהב לשינויים ללא מלאי מלא של רשומות שלך הוא מתכון לאסון.התחל על ידי ביקורת על סביבת ה- DNS הנוכחית שלך מהלוח הבקרה של הספק הקיים שלך או API.

ממציא כל סוגי ה-DNS Active DNS

צור רשימה מפורטת של כל רשומה באזור שלך.זה כולל לא רק את רשומות A ו- CNAME ברורים, אלא גם סוגים פחות בשימוש כמו SRV, NS, PTR (ר עבור אירוח ברמה התחום), ו-CAA. עבור רוב התחומים, סביר להניח שתמצא:

(ב) ,0) ,A RecordsFLT:1 ; מפה מארחת כתובות IPv4
(ב) ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇
(ב) ויקרא י"א: ויקרא י"ד: "וַיָּבְהִיא עַדְהִיתִיא" (שם כ"ד, כ"ד)
(ב) ,0) מ"מX RecordsFLT:1" - תעבורת דואר אלקטרוני ישירה לשרתי דואר
(FLT:0)XTXTIRSFLT:1 - לשאת טקסט קריא מכונה, נפוץ עבור SPF, DKIM, DMARC, ו- Domain Assessment tokens
(ב) ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇ ⁇
(ב) ,0) ,SRV RecordsFLT:1 - להגדיר שירותים כמו SIP, LDAP, או CalDAV
(FLT:0) רשומותFLT:1 - לאפשר לרשויות תעודה להעביר תעודות SSL עבור התחום

הייצוא של קובץ האזור שלך אם הספק שלך תומך בו.רוב לוחות הבקרה יש אפשרות "אזור אקספורט" או "Download Zone File" (אם לא, באופן ידני עותק כל רשומה לתוך גיליון מבוזר, וציין את השם, סוג, ערך, TTL ועדיפות ראשונה (עבור MX ו-SRV).

הבנת ערכי הזמן-לחיים (TTL)

(TTL קובע כמה זמן פותרי DNS מקלקלים את הרשומות שלך.A. גבוה TTL (למשל, 86400 שניות = 24 שעות) פירושו שינויים propagate לאט. A נמוך TTL (למשל, 300 שניות = 5 דקות) מאפשר עדכונים מהירים אך מגבירים את העומס של השאילתה לפני הגירה, עליך ל-FLT:0low TTLsF:1 בכל קריטי לתיעוד כמו 300 או 300 רשומות במהירות, כאשר אתה מקבל שינויים ישנים לפחות, כאשר אתה צריך לבצע שינויים אחרים, לפחות, כאשר אתה יכול לראות את ה-48 שעות מאוחר יותר, כאשר אתה יכול לשנות את ה-48 שעות מאוחר יותר, כאשר אתה יכול לראות את ה-48 שעות מאוחר יותר, אם אתה יכול לשנות את ה-48 שעות מאוחר יותר, כאשר אתה יכול לשנות את ה-48 שעות מאוחר יותר, אם אתה יכול לעשות את ה-48 שעות מאוחר יותר, אם אתה יכול לשנות את ה-48 שעות מאוחר יותר, אם אתה יכול לראות את ה-48 שעות מאוחר יותר, אם אתה צריך לעשות זאת, אם אתה צריך לעשות את ה-48 שעות מאוחר יותר, אם אתה צריך לעשות את ה-48 שעות לפני הגירה, אם אתה צריך לעשות את ה-48 שעות מאוחר יותר, אם אתה צריך לעשות זאת, אם אתה צריך לעשות זאת

הערה: כמה ספקים מאפשרים שינויים TTL רק באמצעות ממשק שלהם; תוכנית בהתאם לרשומות הקשורות לדואר אלקטרוני (MX, SPF, DKIM), TTL נמוך הם חשובים במיוחד כי בעיות משלוח דואר אלקטרוני יכול להיות קשה לאבחן.

זיהוי תלותיות ובעלי עניין

רשומות ה-DNS שלך אינן קיימות בוואקום.הם מתחברים לאחסון אתרים, שירותי דואר אלקטרוני, API של צד שלישי, CDNs, מאזן עומס ומערכות אימות.

ממפה כל שירות שמסתמך על רישום DNS.לדוגמה, api.example.com עשוי לשמש על ידי האפליקציה הניידת שלך. downtime שם יכול לשבור את האפליקציה.
עדכן את הצוות שלך, לקוחות או בעלי עניין רלוונטיים על החלון המתוכנן של שינוי.גם בתכנון זהיר, מכנסיים קצרים יכולים לגרום לבעיות לסירוגין.
ודא שיש לך גישה אדמיניסטרטיבית לספק ה-DNS הישן והספק החדש, כמו גם לרשם התחום שלך (שם נקבע שמות).

בדוק את תהליך הגיבוי והשיקום

(הופנה מהדף שחזור מגיבוי שלך בסביבה לא פרודוקטיבית אם אפשר.חלק מהספקים מציעים "סנדפסה" או אזור משני, לבדוק כי ניתן לייבא את קובץ האזור לתוך הספק החדש ללא שגיאות מס.

תהליך הגירה שלב-בי-Step

לאחר שהכנתך הושלמה ו- TTLs שלך נמוכים (מחכה מספיק זמן עבור ה- TTL הנמוך כדי להפיץ את העולם), בצעו את השלבים האלה באופן שיטתי.

1.גיבוי רשומות DNS קיימות (Formalיצוא)

צור גיבוי שניתן לשחזר במהירות אם משהו משתבש.הגיבוי הטוב ביותר הוא קובץ אזור המייצא מהספק הישן שלך.אם זה לא אפשרי, העתק כל שיא בפורמט מובנה (CSV, JSON, או אפילו קובץ טקסט).

שם (למשל, www, mail)
סוג (A, AAAA, CNAME, MX, TXT וכו ')
ערך / Target
TTL
עדיפות (עבור MX, SRV)
metadata אחר (משקל, נמל עבור SRV)

לאחסן גיבוי זה במיקום מאובטח, כגון מנהל סיסמאות, אחסון בענן מוצפן, או כונן לא מקוון.אל תסמכו רק על ממשק של הספק הישן - אם החשבון שלך יסתיים או גישה אבד, אתה צריך עותק נייד.

2.הגדיר רשומות DNS על הספק החדש

היכנסו אל לוח המחוונים של ספק ה- DNS החדש שלכם וצרו כל שיא בדיוק כפי שהוא הופיע בהנחיות החשובות שלכם:

השתמש באותן הגדרות TTL (בעיקר הערכים הנמוכים שאתה מגדיר לפני כן).
עבור רשומות MX, להבטיח שמספרים עדיפות מתאימים בדיוק. רשומות MX מעובדות על מנת לעדיפות הנמוכה ביותר.
עבור רשומות TXT המכילות SPF או DKIM, העתק את כל המחרוזת, כולל סימני ציטוט פוטנציאליים.חלק מהספקים עוטפים ערכי TXT ארוכים; להבטיח את מלוא הערך הוא נכנס.
עבור רשומות CNAME, זכור כי התחום השורשי (@) בדרך כלל לא יכול להיות שם CNAME (per RFC) במקום זאת, השתמש ברשומות A או AAAA או ALIAS /ANAME אם הספק החדש תומך בו.
בדקו את כל הרשומות המותקנות (המועילות ל-DKIM, DMARC או תגליות שירות) – הן רגישות למקרה והן חייבות להיות מדויקות.

לאחר כניסה לכל הרשומות, בצע השוואה חזותית נגד הגיבוי שלך.You יכול גם להשתמש בכלי צד שלישי של DNS לחפש את שמות של הספק החדש ישירות (אם הם מציעים תכונה כזו) כדי לאמת את הרשומות הם חיים על התשתית שלהם.ספקים רבים יש אפשרות "Preview" או "Test" שמראה כיצד הרשומות ייפתרו.

עדכון שמות ב- Registrar

זהו הנקודה הקריטית שבה האינטרנט מתחיל ללמוד על ספק ה-DNS החדש שלך. Log into your domain Registerar (החברה שרכשת את התחום מ, למשל, GoDaddy, Namecheap, Google Domains) ואתר את הגדרות שמות ה-URL הקיימים עם אלה הניתנים על ידי ספק ה-DNS החדש שלך בדרך כלל, יהיו לך שני או ארבעה שמות כמו LTF:0F:0F ו-R:1LT1.

(FLT:0) ⁇ : (FLT:1) אל תסיר את השמות הישנים עדיין.במקום, להוסיף את החדשים לצד הישן אם הרשם מאפשר (יש לעשות, חלק כוח להחליף ישירות) הגישה הבטוחה ביותר היא להוסיף שמות חדשים קודם, לחכות להפצת, ולאחר מכן להסיר את הישן.

לאחר שהצלת השינויים, שימו לב לזמן המדויק, הפיצול מתחיל מאותו רגע.

4.בדק את שם ה-Loegation

השתמש בכלי כמו ההרחבה:0.DNS Checkerph1 או (FLT:2 כדי לאשר כי השמות החדשים הם סמכותיים.בדוק כי שיא SOA (התחל רשות) משקף את הספק החדש שלך.אם אתה רואה תוצאות מעורבות (יש פותרים שחזרו שמות ישנים, חלקם חדשים), זה נורמלי במהלך הקידום.

מעקב ואימות במהלך התעמולה

הפצת DNS אינה מיידית.גם עם TTLs נמוך, צ'ינג ברמות שונות (ISP פותרים, מערכות הפעלה, דפדפנים) יכול לעכב עדכונים.תוכנית לחלון התפוצה של עד 48 שעות, אם כי רוב שאילתות DNS ישקף את השינוי בתוך השעה הראשונה אם TTLs נמוכים.

שימוש במספר גדול של בודקים

מעקב אחר המעבר באמצעות כלים ששאילתה ממיקומים גיאוגרפיים מרובים.שירותים כמו FLT:0 (מהות) מהמדומים (netibph:1 או FLT:2DNS-Check.onlineirFLT:3 מראה לך אם כל שיא הפיץ למקומות ברחבי העולם.

(ב) ,0)A/AAAAMOFLT:1 - האתר שלך צריך לפתור את ה- IP הנכון.
(ב) ,0) מ'ממירל 1' (משרתי דואר אלקטרוני) צריכים להיות אלה המיועדים.
(ב) ,0) רשומות (SPF, DKIM, DMARC)FIRLT:1 - אימות דואר אלקטרוני חייב להישאר שלם.

בדיקת דואר אלקטרוני ושירותי אינטרנט ברציפות

אל תסמכו רק על בודקי DNS.למעשה בדקו את השירותים:

פתח את האתר שלך בדפדפן מרשתות שונות (למשל, נתונים ניידים לעומת בית Wi-Fi).
שלח הודעות דוא"ל מבחן אל ומתחום שלך באמצעות לקוחות דוא"ל מרובים.
בדוק כל נקודות קצה של API או תת-דומיינים שהן קריטיות לעסקים.
אם אתה משתמש בתעודות SSL, ודא כי הם לאמת נכון (רשומותCAA עלולות להיות מעורבים).

שמור על האזור הישן פעיל כרשת בטיחות

כאמור, לשמור על אזור ספק ה-DNS הישן פעיל וללא שינוי לפחות מחזור אחד מלא (בדרך כלל 48 שעות) אם אתה מגלה טעות קריטית - כמו תיעוד חסר המפרק דואר אלקטרוני - אתה יכול להחזיר את ה- Nameerver שינוי ברשם שלך, והעולם ייפול חזרה לרשומות הישנות, עבודה בתוך תקופת TTL.

פוסט-אינטגרציה: צעדים אחרונים וניקוי

לאחר שהחלטתם שכל השירותים פועלים נכון והפצתם הושלמה (רוב המחאות העולמיות מראות 100% עקביות), ניתן לסיים את ההגירה.

להסיר רשומות DNS ישנות ושמות

מחיקת אזור ה-DNS הישן מהלוח המחוונים של הספק הקודם שלך כדי להימנע מבלבול.
אם הוספת שמות ישנים וחדשים ברשם, הסר את הישנים עכשיו.חלק מהרשומות מאפשרות לך להשאיר שמות נוספים; זה נקי יותר כדי לשמור רק את החדשים.
עדכון TTLs לערכים גבוהים יותר עבור יציבות הייצור.לדוגמה, קבע רשומות A/AAAA ל-3600 (1 שעה) או 86400 (1 יום) אם אתה רק לעתים רחוקות לשנות IP. שמור רשומות MX ו- TXT בינוניות (3600-14400).

רשומות אבטחה

אבטחה דואר אלקטרוני לעתים קרובות מסתמכת על SPF, DKIM ו- DMARC. השתמש במניפסט כמו FLT:0 (DMARC AnalyzerveFLT:1 כדי להבטיח שהרשומות של TXT שלך מוגדרות כראוי.בדוק כי רשומות ה- DKIM שלך בוחרות להציג ולתאם מה ספק הדואר האלקטרוני שלך מצפה.SPF לא נכון יכול לגרום הודעות דוא"ל לגיטימיות לקפיצה או להיות מסומן כמו ספאם.

מסמך ההגירה

יצירת תיעוד של מה בדיוק נעשה, כאשר, וכל בעיות נתקלו בו.התיעוד הזה הופך להיות יקר ערך עבור הגירה עתידית, ביקורת או בעת אימון חברים חדשים.

טיפים מתקדמים ומלכודות נפוצות

תזמון TTL נמוך

הגדר TTLs לערך נמוך לפחות את אותו מספר שניות לפני השינוי כמו ה- TTL המקורי.אם ה- TTL הישן שלך היה 86400 (24 שעות), נמוך 24 שעות לפני שאתה מתכנן להחליף שמות.

דואר אלקטרוני בזמן MX להקליט הגירה

דואר אלקטרוני הוא השירות הרגיש ביותר במהלך הגירה DNS.אם אתה משנה רשומות MX ואת שרת הדואר החדש צופה אישורים או תצורה שונים, אתה עלול לאבד הודעות דוא"ל.

הפעל את שרתי הדואר הישנים והחדשים במקביל במהלך המעבר במידת האפשר (ד'יימי MX מתעד סדרי עדיפויות שונים).
הגדר TTL נמוך מאוד (300 שניות) על רשומות MX למשך מספר ימים לפני השינוי.
נסו לשלוח ולקבל דרך שני השרתים לפני הקיצוץ.

להימנע מ-Creceme Collis

לדוגמה, לא ניתן לקבץ רשומות אחרות של אותו שם.לדוגמה, אם יש לך שם CNAME עבור FLT 3, אין באפשרותך גם להקליט TXT או MX עבור FLT:4.

שימוש ב-DNSSEC

אם התחום שלך משתמש ב-DNSSEC, עליך לתאם את המפתחות של החתימה בין הספקים הישנים והחדשים שלך.DNSSEC מוסיף שכבת אבטחה, אך גם מורכבות. Disabling DNSSEC לפני הגירה ו- re-enabling לאחר הוא לעתים קרובות בטוח יותר, אבל התחום יהיה פחות מאובטח במהלך החלון.

שירות צד שלישי עם IP סטטיים

אם האתר או היישום שלך משתמש בשירות צד שלישי כי רשימות לבן IPs (למשל, שערי תשלום, ספקי API), לעדכן את אותם רשימות לבנות IP אם ספק האירוח החדש שלך משתמש ב- IP שונים.

מסקנה

רשומות DNS של Migrating אינו מסוכן מטבעו אם אתה להתכונן ביסודיות ולבצע באופן שיטתי. Low TTLs, גיבויים מלאים, אימות רב-שלב, ורשת בטיחות של שמות ישנים להפחית באופן דרמטי את הסיכוי של זמן מורחב. על ידי ביצוע השלבים והטיפים המורחבים במדריך זה, אתה יכול להעביר את ה- DNS של התחום שלך לספק חדש - או לעדכן רשומות קיימות - עם הפרעה מינימלית לאתר שלך, דואר אלקטרוני, ונוכחות קריטית של אבטחה אחרת.