Spostamento delle modifiche DNS autorevoli in cui i risolutori ottengono i dati del dominio. Un successo server dei nomi il cambiamento non lo dimostra SPF, DKIM, DMARC o le rotte di ricezione sono sopravvissute. Conserva i record e le dipendenze effettivi prima di modificare la delega e mantieni disponibili sia il vecchio che il nuovo servizio mentre le cache possono utilizzarli.
Inventariare la zona effettiva
Riferimenti: RFC 1034 §4.2, RFC 1035 §3.3.14, RFC 6376 §3.1.
Identificare la delegazione principale corrente e tutti i server autorevoli. Ottieni un'esportazione autorizzata o un inventario API dall'host DNS effettivo. Una query ordinaria non può enumerare ogni possibile Selettore DKIM, quindi combina l'esportazione con la configurazione del servizio di invio e le recenti intestazioni dei messaggi firmati. Include apex SPF , DMARC , selettori attivi e in pensione, personalizzati percorso di ritorno record, MX , le relative dipendenze degli indirizzi e record della politica di trasporto dove distribuiti.
Registra nomi, tipi, TTL e valori esatti del proprietario. Conserva i limiti dei record di risorse TXT e i frammenti di stringa. Alias di inventario e deleghe secondarie anziché copiare solo il valore terminale visualizzato da una ricerca ricorsiva. Le funzionalità del provider come l'appiattimento o i record gestiti necessitano di un equivalente esplicito nella destinazione; potrebbero non sopravvivere all'esportazione di un file di zona di base.
Costruisci la destinazione prima di cambiare
Riferimenti: RFC 4034 §5, RFC 4035 §2.4.
Importa i dati revisionati nella destinazione, controlla le differenze e interroga direttamente ogni nuovo server autorevole. I suoi valori SOA e apex NS potrebbero differire intenzionalmente dal vecchio provider; i dati di autenticazione dovrebbero differire solo laddove il piano di migrazione autorizza esplicitamente una modifica. Controlla che l'input del nome relativo non abbia duplicato il suffisso della zona.
Per le zone firmate, coordinare la transizione DS principale e DNSKEY secondaria con la procedura di migrazione supportata dai provider. Copiare documenti ordinari senza coordinarsi DNSSEC può fare in modo che un risolutore di convalida rifiuti dati altrimenti visibili. Non eliminare il DS né disabilitare la convalida come impostazione predefinita improvvisata. Determinare l'esatta procedura di continuità o transizione prima di pianificare il trasloco.
Riprodurre un errore del selettore mancante
Utilizza un'area lab isolata denominata example.test. La vecchia autorità lo ha fatto esempio.test. 300 IN TXT " v=spf1 -all ", _dmarc.example.test. 300 IN TXT "v=DMARC1; p=none" E s1._domainkey.example .test. 300 IN TXT "apparecchio=selettore-presente". L'ultimo valore è un indicatore, non una chiave DKIM . Preparare una copia di destinazione che ometta deliberatamente s1.
Correre dig @OLD_IP s1._domainkey.example .test. TXT +norecurse E dig @NEW_IP s1._domainkey.example .test. TXT +norecurse, sostituendo gli indirizzi dei server di laboratorio. Il confronto previsto identifica il marcatore mancante presso la nuova autorità. Ripristinalo, ripeti tutte le query esatte sul proprietario/tipo e conserva le risposte prima e dopo. Questo dispositivo verifica la completezza dell'inventario, non un valido Firma DKIM.
Cambia e osserva entrambi i percorsi
Riferimenti: RFC 1034 §4.2, RFC 2308 §5, RFC 8767 §4.
Abbassare i TTL applicabili con sufficiente anticipo se il piano supportato lo richiede; i vecchi TTL memorizzati nella cache non vengono abbreviati retroattivamente. RFC 8767 consente inoltre la pubblicazione di dati obsoleti limitati in condizioni di errore di aggiornamento specificate, quindi un TTL non è una scadenza di scomparsa universale. Aggiorna la delegazione principale tramite il flusso di lavoro di registrazione autorizzato, quindi osserva i riferimenti dei genitori e la risoluzione ricorsiva, nonché le risposte dirette al nuovo server. La delega, le risposte positive e le risposte negative possono avere cronologie di memorizzazione nella cache diverse.
Conservare il vecchio servizio DNS finché la cache e le condizioni operative pertinenti alla migrazione non saranno state cancellate. Un rollback è un'altra modifica distribuita, non un annullamento istantaneo. Chiudi solo dopo che i record sono stati concordati, la convalida della risoluzione funziona ove applicabile e i percorsi di posta legittimi rappresentativi sono stati testati. La migrazione della produzione e i test di posta rimangono in sospeso. Il dispositivo storico conservato di seguito fornisce un esempio di conservazione DNS limitata.
Conservate prove storiche di laboratorio
L'acquisizione conservata del 7 novembre 2026, ispezionata ma non rieseguita qui, registra che il laboratorio del socket isolato ha interrogato le vecchie e le nuove autorità della zona fissa per s1._domainkey.example .test. La destinazione inizialmente ha restituito NXDOMAIN , mentre la vecchia autorità ha restituito il marcatore. Dopo l'aggiunta sintetica descritta nel corridore storico, la destinazione ha restituito il segnalino. L'acquisizione conservata preserva i nomi esatti delle query e le risposte prima/dopo per questo caso ristretto di conservazione dei record; non è un piano di migrazione o un'approvazione del cliente. Le etichette di acquisizione sono migrazione_missing_s1; migrazione_vecchio_s1; migrazione_dopo_riparazione. Il corridore storico e l'acquisizione grezza sono inclusi in questo pacchetto di recensione; la loro presenza non costituisce una nuova richiesta di esecuzione. I risultati DNS di produzione, DNSSEC e SMTP non sono stati testati.