Il DNS durante un trasferimento

Modulo 6: Tempo, cache e trasferimento · Tempo di lettura: 10 minuti

Obiettivo della lezione: dopo questa lezione sarà in grado di pianificare il trasferimento del Suo sito web, della Sua email o della gestione del Suo DNS in modo che i visitatori non se ne accorgano e Lei non perda alcuna email.

Concetti chiave: tipi di trasferimento, ordine delle operazioni, abbassare la TTL in anticipo, preparare i record, backup della zona, test prima del passaggio (file hosts, indirizzo di controllo), posta durante il passaggio, verifica preventiva presso il registro, DNSSEC e il record DS

Quattro tipi di trasferimento

"Trasferisco il mio dominio" può significare quattro cose diverse. È molto utile stabilire prima a cosa si riferisce esattamente, perché ogni tipo coinvolge record diversi.

Cosa viene trasferito	Cosa cambia nel DNS
Il Suo sito web su un altro server	I record A e AAAA di `@` e `www` (ed eventuali sottodomini)
La Sua email verso un altro fornitore di posta	I record MX, il record SPF, i record DKIM, eventualmente `autodiscover`
La Sua gestione DNS verso un altro fornitore	I nameserver presso il registro; tutti i record devono essere riportati presso il nuovo fornitore
La Sua registrazione del dominio verso un altro registrar	In linea di principio nulla nel DNS, ma spesso i nameserver vengono modificati contemporaneamente

Spesso più trasferimenti avvengono insieme, per esempio quando sposta tutto da un fornitore a un altro. In quel caso valgono le insidie di tutti e quattro i tipi.

L'ordine d'oro

Il principio più importante: preparare prima tutto nel nuovo ambiente, e solo dopo effettuare il passaggio. Il passaggio vero e proprio è un'operazione piccola: qualche record o i nameserver. Tutto ciò che può essere fatto prima del passaggio, va fatto prima del passaggio.

Qualche giorno prima

Faccia un backup della Sua zona attuale. Esporti i record, faccia uno screenshot o li annoti. Senza una panoramica di cosa era presente, in seguito non saprà cosa manca. Molti pannelli dispongono di un pulsante per il backup del DNS.
Faccia un inventario. Esamini ogni riga e annoti a cosa serve: sito web, posta, verifica presso Google o Microsoft, un servizio di newsletter, un sottodominio per un negozio online. Proprio questi record aggiuntivi (TXT per la verifica, CNAME per il DKIM di un servizio di newsletter) vengono spesso dimenticati durante i trasferimenti.
Prepari il nuovo ambiente. Il sito web è sul nuovo server, le caselle di posta esistono presso il nuovo fornitore di posta.
Esegua un test prima del passaggio. Può visualizzare un sito web su un nuovo server senza modificare il DNS: con una riga nel Suo file hosts, oppure con un indirizzo di prova o di controllo fornito dal nuovo fornitore. Non dimentichi di rimuovere quella riga nel file hosts al termine.

Con almeno la durata della vecchia TTL di anticipo

Abbassi la TTL dei record che sta per modificare a 300 secondi (lezione 6.1). Se la TTL era impostata su 3600, lo faccia almeno un'ora prima; per sicurezza un giorno prima. Se era su 86400, almeno un giorno prima.

Attenzione: la TTL dei record NS presso il registro (lezione 6.2) non può essere abbassata da Lei. In caso di cambio di nameserver questo tempo di attesa è sempre presente.

Il passaggio

Modifichi i record (in caso di trasferimento del sito web o della posta), oppure modifichi i nameserver presso il Suo registrar (in caso di trasferimento della gestione DNS).
Verifichi subito presso il nameserver autoritativo se i nuovi valori sono presenti (dig A example.com @ns1.newhost.example).

Dopo

Verifichi tutto: il sito web via http e https, il certificato, un'email di prova in entrambe le direzioni, e un controllo online di MX, SPF, DKIM e DMARC.
Riporti la TTL a 3600 quando tutto funziona.
Disdica il vecchio servizio solo quando per alcuni giorni non arriva più nessuna posta o visita al vecchio indirizzo. Se disdice prima, il Suo sito o la Sua posta potrebbero sparire, o nel peggiore dei casi il Suo dominio potrebbe scadere.

Un trasferimento della gestione DNS

Se trasferisce il Suo DNS verso un altro fornitore (altri nameserver), c'è una regola aggiuntiva: la zona deve essere completa presso il nuovo fornitore prima di modificare i nameserver. Dal momento del passaggio, il nuovo fornitore determina tutte le risposte. Ciò che manca lì, non esiste più.

Tenga a mente questo elenco come minimo:

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (o un CNAME)
mail       A      192.0.2.25        (se il Suo MX punta a mail.example.com)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (il selettore varia a seconda del fornitore)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Più tutti i sottodomini, i record di verifica e i record di servizi esterni.

Alcuni registri verificano i nuovi nameserver prima di accettare la modifica. DENIC (il registro di .de) controlla per esempio se i nuovi nameserver già rispondono per il dominio. Se la zona non è ancora presente lì, la modifica viene rifiutata. Anche per questo: prima prepari la zona.

Esempio pratico

Un dominio è stato collegato a un costruttore di siti impostando i nameserver verso quella piattaforma. La piattaforma ha impostato autonomamente un record MX verso mail.example.com e un record SPF, ma nessun record A per mail.example.com. Il risultato: l'invio funzionava, la ricezione no. Ogni server di posta che voleva consegnare un messaggio non trovava alcun indirizzo per il nome indicato nel record MX. Un unico record A presso la piattaforma ha risolto il problema. Lezione: se trasferisce i nameserver, deve riportare anche ogni record a cui fa riferimento un altro record.

L'email durante il passaggio

Durante il periodo di transizione, parte della posta arriva ancora al vecchio indirizzo: i mittenti con una risposta vecchia nella propria cache la consegnano lì. Questo è normale e non costituisce un problema, purché legga entrambe le caselle di posta.

Configuri già la nuova casella di posta nel Suo programma di posta, con il nome del server fornito dal nuovo fornitore (non mail.example.com, perché quel nome punta a luoghi variabili durante il passaggio).
Lasci anche la vecchia casella di posta nel Suo programma di posta finché per alcuni giorni non arriva più nulla.
Copi la posta vecchia con uno strumento di trasferimento del nuovo fornitore o con un programma di copia IMAP.
In caso di trasferimento della posta, non dimentichi il record SPF: il nuovo fornitore deve esservi incluso, e finché il vecchio invia ancora messaggi (per esempio il modulo di contatto del Suo sito web) anche questo deve rimanervi.

DNSSEC durante un trasferimento

Se il Suo dominio utilizza DNSSEC (lezione 8.1), presso il registro è presente un record DS: un'impronta digitale della chiave con cui il Suo attuale fornitore DNS firma la zona. Se trasferisce la gestione del Suo DNS, il nuovo fornitore firma con una chiave diversa. Se il vecchio DS rimane presso il registro, l'impronta digitale non corrisponde più. I resolver che eseguono la validazione (e sono molti) restituiscono allora SERVFAIL: l'intero dominio diventa per loro irraggiungibile, sia il sito web che la posta.

L'approccio sicuro:

Faccia rimuovere il DS presso il registro (DNSSEC disattivato) e attenda che la TTL del DS sia trascorsa.
Cambi i nameserver.
Attivi DNSSEC presso il nuovo fornitore e faccia inserire il nuovo DS presso il registro.

Esiste anche un metodo che permette di trasferirsi senza interruzione di DNSSEC (le chiavi di entrambi i fornitori affiancate temporaneamente), ma richiede la collaborazione di entrambi i fornitori e non è affatto supportato ovunque. Se durante un trasferimento qualcosa va storto e il Suo dominio diventa improvvisamente irraggiungibile mentre i record sembrano corretti, verifichi prima di tutto DNSSEC.

Nella pratica: ecco come appare in un pannello

Nel pannello di esempio Mio WebOké può creare un backup dell'intera zona nella scheda DNS con un solo pulsante, e ripristinarlo con un clic se qualcosa va storto. Un trasferimento del dominio stesso si avvia lì nel Centro trasferimenti, e la scheda Salute Dominio / Email mostra, dopo il passaggio, se nameserver, record A, certificato, MX, SPF, DMARC e DNSSEC sono corretti. Altri fornitori offrono spesso un'esportazione della zona (a volte come file di zona che può importare presso il nuovo fornitore) e un controllo simile; se il Suo pannello non lo prevede, faccia uno screenshot dell'elenco dei record.

Riepilogo

Stabilisca prima cosa viene trasferito: sito web, posta, gestione DNS o registrazione.
Backup, inventario, preparazione del nuovo ambiente e test vanno fatti prima del passaggio.
Abbassi la TTL almeno una vecchia TTL prima, e la riporti al valore originale in seguito.
In caso di trasferimento della gestione DNS, la zona deve essere completa presso il nuovo fornitore prima del cambio di nameserver; non dimentichi record come il record A del server di posta.
Con DNSSEC: prima rimuova il vecchio DS, poi effettui il passaggio, poi inserisca il nuovo DS.
Durante il passaggio legga entrambe le caselle di posta e disdica il vecchio servizio solo quando tutto funziona.

Quiz

Esercizio

Esercizio Z6.3: Inventario di trasferimento. Crei un inventario di trasferimento del Suo dominio (o, se non ha un dominio, di sidn.nl, il sito di SIDN, il registro di .nl nei Paesi Bassi). Cerchi e compili: i nameserver, i record A e AAAA di @ e www, i record MX, il record SPF, il record DMARC e se è presente un record DS. Il programma confronta ogni valore con ciò che il DNS risponde attualmente.

Esercizio O6.3: Impostazione autonoma nella Sua zona di esercitazione. Nella Sua zona di esercitazione <code>.dnspractice.eu è presente un piccolo sito web "esistente": www.<code>.dnspractice.eu punta a 192.0.2.10 (A) e 2001:db8::10 (AAAA), con TTL 300. La posta della zona di esercitazione si trova su mail.<code>.dnspractice.eu (192.0.2.25) con un record MX (priorità 10). Simuli un trasferimento del sito web:

Abbassi la TTL dei record di www.<code>.dnspractice.eu a 60.
Faccia puntare www.<code>.dnspractice.eu al nuovo server 198.51.100.10 e rimuova il record AAAA: il nuovo server non ha IPv6.
Riporti la TTL di www.<code>.dnspractice.eu a 300.
Lasci invariati i record di posta.

La zona di esercitazione utilizza TTL brevi (tra 30 e 300 secondi), in modo che non debba attendere; nel Suo dominio reale utilizza per esempio 3600 come valore standard e 300 durante il trasferimento.

Esercizio O6.3

Questo esercizio lo svolge nella Sua zona di esercitazione: una vera zona DNS sui nameserver di WebOké, solo per Lei. Si registri con il Suo indirizzo email. Riceverà un link di accesso via email e tornerà poi a questa lezione. Usiamo il Suo indirizzo solo per il corso.

Per approfondire

I passaggi descritti in questi articoli si riferiscono ai pannelli di WebOké; in altri pannelli il funzionamento è simile.

Cookie su WebOké

Impostazioni cookie

Necessari

Marketing