DNS při převodu domény

Modul 6: Čas, cache a převod domény · Doba čtení: 10 min

Cíl lekce: Po této lekci dokážete naplánovat převod svého webu, e-mailu nebo DNS správy tak, aby si toho návštěvníci nevšimli a abyste nepřišli o poštu.

Klíčové pojmy: druhy převodu, pořadí kroků, snížení TTL předem, příprava záznamů, záloha zóny, testování před přepnutím (soubor hosts, kontrolní adresa), pošta během přepnutí, kontrola u registru předem, DNSSEC a záznam DS

Čtyři druhy převodu

„Převádím svou doménu" může znamenat čtyři různé věci. Velmi pomáhá si nejdřív ujasnit, co přesně máte na mysli, protože každý druh se dotýká jiných záznamů.

Často k nim dochází současně, například když přesouváte vše od jednoho poskytovatele k druhému. Pak platí úskalí všech čtyř najednou.

Zlaté pořadí kroků

Nejdůležitější zásada: nejprve vše připravit na novém místě, teprve pak přepnout. Samotné přepnutí je malý úkon, pár záznamů nebo jmenné servery. Vše, co lze udělat před přepnutím, uděláte před přepnutím.

Pár dní předem

1. Vytvořte si zálohu současné zóny. Exportujte záznamy, pořiďte snímek obrazovky nebo si je poznamenejte. Bez přehledu toho, co tam bylo, zpětně nepoznáte, co chybí. Mnoho administračních rozhraní má tlačítko pro zálohu DNS.
2. Vytvořte si soupis. Projděte každý řádek a napište si k němu, k čemu slouží: web, pošta, ověření u Google nebo Microsoft, newsletterová služba, subdoména pro e-shop. Právě tyto doplňkové záznamy (TXT pro ověření, CNAME pro DKIM newsletterové služby) se při převodech často zapomínají.
3. Připravte nové prostředí. Web je na novém serveru, schránky existují u nového poskytovatele pošty.
4. Otestujte před přepnutím. Web na novém serveru si můžete prohlédnout, aniž byste měnili DNS: řádkem v souboru hosts, nebo testovací či kontrolní adresou, kterou poskytne nový poskytovatel. Nezapomeňte poté řádek v hosts zase odstranit.

Alespoň jedna stará TTL předem

5. Snižte TTL záznamů, které budete měnit, na 300 sekund (lekce 6.1). Pokud byla TTL 3600, udělejte to minimálně hodinu předem; pro jistotu den předem. Pokud byla 86400, pak minimálně den předem.

Pozor: TTL záznamů NS u registru (lekce 6.2) nemůžete sami snížit. Při změně jmenných serverů s touto čekací dobou vždy musíte počítat.

Přepnutí

6. Změňte záznamy (při převodu webu nebo e-mailu), nebo změňte jmenné servery u registrátora (při převodu DNS správy).
7. Ihned zkontrolujte u autoritativního jmenného serveru, zda jsou tam nové hodnoty (dig A example.com @ns1.newhost.example).

Poté

8. Zkontrolujte vše: web přes http i https, certifikát, testovací e-mail tam i zpět a online kontrolu MX, SPF, DKIM a DMARC.
9. Vraťte TTL zpět na 3600, jakmile vše funguje.
10. Starou službu zrušte až tehdy, když na starém místě už pár dní nepřichází žádná pošta ani návštěvy. Zrušíte-li ji dříve, může Váš web nebo pošta vypadnout, nebo se v nejhorším případě doména uvolní.

Převod DNS správy

Převádíte-li svou DNS k jinému poskytovateli (jiné jmenné servery), platí jedno pravidlo navíc: zóna musí být kompletní u nového poskytovatele dříve, než změníte jmenné servery. Od okamžiku přepnutí určuje všechny odpovědi nový poskytovatel. Co tam chybí, přestává existovat.

Vezměte si s sebou alespoň tento seznam:

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (nebo CNAME)
mail       A      192.0.2.25        (pokud Váš MX ukazuje na mail.example.com)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (selektor se u každého poskytovatele liší)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Plus všechny subdomény, ověřovací záznamy a záznamy externích služeb.

Některé registry kontrolují nové jmenné servery dříve, než změnu přijmou. Například DENIC (registr domény .de v Německu) kontroluje, zda nové jmenné servery pro doménu už odpovídají. Pokud tam zóna ještě není, může být změna odmítnuta. I proto: nejprve připravit zónu.

Příklad z praxe

Doména byla napojena na stavebnici webu přesměrováním jmenných serverů na danou platformu. Platforma si sama vytvořila záznam MX ukazující na mail.example.com a záznam SPF, ale žádný záznam A pro mail.example.com. Výsledek: odesílání fungovalo, přijímání ne. Každý mailový server, který chtěl poštu doručit, nenašel adresu k názvu z MX. Vyřešil to jediný záznam A u platformy. Ponaučení: pokud převádíte jmenné servery, musí jít s nimi i každý záznam, na který odkazuje jiný záznam.

E-mail během přepnutí

Během přechodného období přichází část pošty stále na staré místo: odesílatelé se starou odpovědí v cache doručují tam. To je normální a není to problém, pokud čtete obě schránky.

• Nastavte si novou schránku ve svém e-mailovém programu předem, s názvem serveru, který uvádí nový poskytovatel (nikoli mail.example.com, protože tento název během přepnutí ukazuje na střídavá místa).
• Starou schránku nechte v e-mailovém programu rovněž, dokud do ní pár dní nic nepřijde.
• Starou poštu zkopírujte pomocí nástroje pro převod od nového poskytovatele nebo pomocí IMAP kopírovacího programu.
• Při převodu e-mailu nezapomeňte na záznam SPF: musí v něm být nový poskytovatel, a dokud ještě odesílá i starý (například kontaktní formulář Vašeho webu), musí v něm zůstat i on.

DNSSEC při převodu

Pokud Vaše doména používá DNSSEC (lekce 8.1), je u registru uložen záznam DS: otisk klíče, kterým Váš současný DNS poskytovatel zónu podepisuje. Pokud převádíte DNS správu, nový poskytovatel podepisuje jiným klíčem. Zůstane-li u registru starý DS, otisk už nebude odpovídat. Validující resolvery (a je jich hodně) pak vrátí SERVFAIL: celá Vaše doména je pro ně nedostupná, web i pošta.

Bezpečný postup:

1. Nechte DS u registru odstranit (DNSSEC vypnout) a počkejte, až uplyne TTL záznamu DS.
2. Přepněte jmenné servery.
3. U nového poskytovatele zapněte DNSSEC a nechte u registru uložit nový DS.

Existuje i metoda, jak převést doménu bez přerušení DNSSEC (klíče obou poskytovatelů dočasně vedle sebe), ta ale vyžaduje spolupráci obou stran a zdaleka ne všude je podporovaná. Pokud se při převodu přesto něco pokazí a Vaše doména je náhle nedostupná, přestože záznamy vypadají správně, zkontrolujte nejprve DNSSEC.

V praxi: jak to vypadá v administračním rozhraní

Ve vzorovém rozhraní Můj WebOké vytvoříte zálohu celé zóny na záložce DNS jediným tlačítkem a stejně tak jedním kliknutím ji obnovíte, pokud se něco pokazí. Převod samotné domény spustíte v Převodovém centru a karta Zdraví domény / e-mailu po přepnutí ukáže, zda jsou v pořádku jmenné servery, záznam A, certifikát, MX, SPF, DMARC a DNSSEC. Jiní poskytovatelé často nabízejí export zóny (někdy jako zónový soubor, který lze u nového poskytovatele importovat) a podobnou kontrolu; pokud Vaše rozhraní tuto funkci nemá, pořiďte si alespoň snímek obrazovky se seznamem záznamů.

Shrnutí

• Nejprve určete, co se převádí: web, pošta, DNS správa nebo registrace.
• Záloha, soupis, příprava nového prostředí a testování probíhají před přepnutím.
• Snižte TTL alespoň jednu starou TTL předem a poté ji vraťte zpět.
• Při převodu DNS správy musí být zóna kompletní u nového poskytovatele ještě před změnou jmenných serverů; nezapomeňte na záznamy jako A záznam mailového serveru.
• S DNSSEC: nejprve odstranit starý DS, pak přepnout, pak uložit nový DS.
• Během přepnutí čtěte obě schránky a starou službu zrušte, až vše funguje.

Kvíz

Úkol

Úkol Z6.3: Soupis před převodem. Vytvořte soupis před převodem pro svou vlastní doménu (nebo, pokud doménu nemáte, pro sidn.nl, webovou stránku SIDN, registru domén .nl v Nizozemsku). Zjistěte a vyplňte: jmenné servery, záznamy A a AAAA pro @ a www, záznamy MX, záznam SPF, záznam DMARC a zda existuje záznam DS. Program porovná každou hodnotu s tím, co DNS aktuálně odpovídá.

Úkol O6.3: Nastavení ve vlastní cvičné zóně. Ve Vaší cvičné zóně <code>.dnspractice.eu se nachází malý „existující" web: www.<code>.dnspractice.eu ukazuje na 192.0.2.10 (A) a 2001:db8::10 (AAAA), s TTL 300. Pošta cvičné zóny je na mail.<code>.dnspractice.eu (192.0.2.25) se záznamem MX (priorita 10). Zopakujte si převod webu:

1. Snižte TTL záznamů www.<code>.dnspractice.eu na 60.
2. Nasměrujte www.<code>.dnspractice.eu na nový server 198.51.100.10 a odstraňte záznam AAAA: nový server nemá IPv6.
3. Vraťte TTL www.<code>.dnspractice.eu zpět na 300.
4. Záznamy pošty ponechte beze změny.

Cvičná zóna používá krátké hodnoty TTL (mezi 30 a 300 sekundami), takže nemusíte čekat; u své skutečné domény použijete například 3600 jako výchozí hodnotu a 300 během převodu.

Doporučené čtení

Kroky v těchto článcích se týkají administračních rozhraní WebOké; v jiných rozhraních to funguje obdobně.

• Přesun domény, webu a e-mailu společně bez výpadku: podrobný postup
• Použití vlastních nebo externích nameserverů (např. Cloudflare) pro Vaši doménu
• Web nebo e-mail nefunguje po přesunu nebo změně DNS: zkontrolujte svou doménu
• Vytvoření a obnovení zálohy DNS
• Příjem e-mailů během převodu domény
• Prohlédnutí si Vašich webových stránek u společnosti WebOké před přesunem názvu domény
• Příručka k DirectAdmin 18.7: Moje doména po převodu nebo změně ještě nefunguje
• Příručka k DirectAdmin 18.8: Testování webových stránek před přesunem domény
• Příručka WebOké 5.7: Obnovení DNS a vytvoření zálohy DNS
• Příručka WebOké 5.8: DNSSEC a DANE