Module 6 · 6.3

DNS bij een verhuizing

Module 6: Tijd, cache en verhuizen · Leestijd: 10 minuten

Leerdoel: Na deze les kun je een verhuizing van je website, je e-mail of je DNS-beheer zo plannen dat bezoekers er niets van merken en je geen mail mist.

Kernbegrippen: soorten verhuizing, volgorde, TTL vooraf verlagen, records klaarzetten, back-up van de zone, testen vóór de wissel (hosts-bestand, meekijkadres), mail tijdens de wissel, registry-controle vooraf, DNSSEC en het DS-record

---

Vier soorten verhuizing

"Ik verhuis mijn domein" kan vier verschillende dingen betekenen. Het helpt enorm om eerst te bepalen welke je bedoelt, want elke soort raakt andere records.

Wat verhuist	Wat verandert in de DNS
Je website naar een andere server	De A- en AAAA-records van `@` en `www` (en eventuele subdomeinen)
Je e-mail naar een andere mailpartij	De MX-records, het SPF-record, DKIM-records, eventueel `autodiscover`
Je DNS-beheer naar een andere partij	De nameservers bij de registry; alle records moeten mee naar de nieuwe partij
Je domeinregistratie naar een andere registrar	In principe niets in de DNS, maar vaak worden de nameservers tegelijk gewijzigd

Vaak gebeuren er meerdere tegelijk, bijvoorbeeld als je alles van de ene aanbieder naar de andere verhuist. Dan zijn ook de valkuilen van alle vier van toepassing.

De gouden volgorde

Het belangrijkste principe: eerst alles klaarzetten op de nieuwe plek, dan pas wisselen. De wissel zelf is een kleine handeling, een paar records of de nameservers. Alles wat vóór de wissel kan, doe je vóór de wissel.

DNS bij een verhuizing: de goede volgorde 1:06

Een paar dagen van tevoren

Maak een back-up van je huidige zone. Exporteer de records, maak een schermafdruk of noteer ze. Zonder overzicht van wat er stond, weet je achteraf niet wat er ontbreekt. Veel panelen hebben een knop voor een DNS-back-up.
Maak een inventaris. Ga elke regel na en schrijf erbij waar hij voor dient: website, mail, verificatie bij Google of Microsoft, een nieuwsbriefdienst, een subdomein voor een webwinkel. Juist die extra records (TXT voor verificatie, CNAME voor DKIM van een nieuwsbriefdienst) worden bij verhuizingen vaak vergeten.
Zet de nieuwe omgeving klaar. De website staat op de nieuwe server, de mailboxen bestaan bij de nieuwe mailpartij.
Test vóór de wissel. Je kunt een website op een nieuwe server bekijken zonder de DNS te wijzigen: met een regel in je hosts-bestand, of met een testadres of meekijkadres dat de nieuwe aanbieder geeft. Vergeet die hosts-regel na afloop niet weg te halen.

Minstens één oude TTL van tevoren

Verlaag de TTL van de records die je gaat wijzigen naar 300 seconden (les 6.1). Stond de TTL op 3600, doe het dan minstens een uur van tevoren; voor de zekerheid een dag. Stond hij op 86400, dan minstens een dag.

Let op: de TTL van de NS-records bij de registry (les 6.2) kun je niet zelf verlagen. Bij een nameserverwissel heb je die wachttijd altijd.

De wissel

Wijzig de records (bij een website- of mailverhuizing), of wijzig de nameservers bij je registrar (bij een verhuizing van het DNS-beheer).
Controleer meteen bij de gezaghebbende nameserver of de nieuwe waarden er staan (dig A example.com @ns1.newhost.example).

Erna

Controleer alles: website via http en https, het certificaat, een testmail heen en terug, en een online controle van MX, SPF, DKIM en DMARC.
Zet de TTL terug naar 3600 als alles werkt.
Zeg de oude dienst pas op als er een paar dagen geen mail of bezoek meer op de oude plek binnenkomt. Zeg je eerder op, dan kan je site of mail wegvallen, of in het ergste geval je domein vrijvallen.

Een verhuizing van het DNS-beheer

Verhuis je je DNS naar een andere partij (andere nameservers), dan is er één extra regel: de zone moet compleet bij de nieuwe partij staan vóórdat je de nameservers wijzigt. Vanaf het moment van de wissel bepaalt de nieuwe partij alle antwoorden. Wat daar ontbreekt, bestaat niet meer.

Neem dit lijstje mee als minimum:

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (of een CNAME)
mail       A      192.0.2.25        (als je MX naar mail.example.com wijst)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (de selector verschilt per partij)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Plus alle subdomeinen, verificatierecords en records van externe diensten.

Sommige registries controleren de nieuwe nameservers vóórdat ze de wijziging accepteren. DENIC (de registry van .de) kijkt bijvoorbeeld of de nieuwe nameservers al antwoorden voor het domein. Staat de zone er nog niet, dan wordt de wijziging geweigerd. Ook daarom: eerst de zone klaarzetten.

Voorbeeld uit de praktijk

Een domein werd gekoppeld aan een sitebouwer door de nameservers naar dat platform te zetten. Het platform zette zelf een MX-record naar mail.example.com en een SPF-record, maar geen A-record voor mail.example.com. Het resultaat: versturen lukte, ontvangen niet. Elke mailserver die mail wilde afleveren, vond geen adres bij de naam uit de MX. Eén A-record bij het platform loste het op. Les: als je de nameservers verhuist, moet ook elk record waar een ander record naar verwijst, mee.

E-mail tijdens de wissel

Tijdens de overgangsperiode komt een deel van de mail nog op de oude plek binnen: verzenders met een oud antwoord in hun cache leveren daar af. Dat is normaal en geen probleem, zolang je beide mailboxen leest.

Zet de nieuwe mailbox alvast in je mailprogramma, met de servernaam die de nieuwe partij opgeeft (niet mail.example.com, want die naam wijst tijdens de wissel naar wisselende plekken).
Laat de oude mailbox ook in je mailprogramma staan tot er een paar dagen niets meer binnenkomt.
Kopieer oude mail met een verhuistool van de nieuwe partij of met een IMAP-kopieerprogramma.
Vergeet bij een mailverhuizing het SPF-record niet: de nieuwe partij moet erin, en zolang de oude nog verstuurt (bijvoorbeeld het contactformulier van je website) moet die er ook in blijven.

DNSSEC bij een verhuizing

Gebruikt je domein DNSSEC (les 8.1), dan staat bij de registry een DS-record: een vingerafdruk van de sleutel waarmee je huidige DNS-partij de zone ondertekent. Verhuis je je DNS-beheer, dan ondertekent de nieuwe partij met een andere sleutel. Blijft de oude DS bij de registry staan, dan past de vingerafdruk niet meer. Validerende resolvers (en dat zijn er veel) geven dan SERVFAIL: je hele domein is voor hen onbereikbaar, website en mail.

De veilige aanpak:

Laat de DS bij de registry verwijderen (DNSSEC uit) en wacht tot de TTL van de DS verstreken is.
Wissel de nameservers.
Zet bij de nieuwe partij DNSSEC aan en laat de nieuwe DS bij de registry plaatsen.

Er bestaat ook een methode waarbij je zonder onderbreking van DNSSEC verhuist (de sleutels van beide partijen tijdelijk naast elkaar), maar die vraagt medewerking van beide partijen en wordt lang niet overal ondersteund. Gebeurt er bij een verhuizing toch iets fout en is je domein ineens onbereikbaar terwijl de records goed lijken, controleer dan eerst DNSSEC.

In de praktijk: zo ziet het eruit in een paneel

In het voorbeeldpaneel Mijn WebOké maak je een back-up van de hele zone op het tabblad DNS met één knop, en zet je hem met één klik terug als er iets misgaat. Een verhuizing van het domein zelf start je daar in het Verhuiscentrum, en de kaart Domein / Email gezondheid laat na de wissel zien of nameservers, A-record, certificaat, MX, SPF, DMARC en DNSSEC kloppen. Andere aanbieders bieden vaak een export van de zone (soms als zonebestand dat je bij de nieuwe partij kunt importeren) en een vergelijkbare controle; heeft jouw paneel dat niet, maak dan een schermafdruk van de recordlijst.

Samenvatting

Bepaal eerst wat er verhuist: website, mail, DNS-beheer of registratie.
Back-up, inventaris, nieuwe omgeving klaarzetten en testen gaan vóór de wissel.
Verlaag de TTL minstens één oude TTL van tevoren en zet hem daarna terug.
Bij een verhuizing van het DNS-beheer moet de zone compleet bij de nieuwe partij staan vóór de nameserverwissel; vergeet records als het A-record van de mailserver niet.
Met DNSSEC: eerst de oude DS weg, dan wisselen, dan de nieuwe DS plaatsen.
Lees tijdens de wissel beide mailboxen en zeg de oude dienst pas op als alles werkt.

Quiz

Opdracht

Z6.3 (opzoeken). Maak een verhuisinventaris van je eigen domein (of, als je geen domein hebt, van sidn.nl). Zoek op en vul in: de nameservers, de A- en AAAA-records van @ en www, de MX-records, het SPF-record, het DMARC-record en of er een DS-record is. Het programma vergelijkt elke waarde met wat de DNS nu antwoordt.

O6.3 (zelf instellen). In je oefenzone <code>.dnspractice.eu staat een kleine "bestaande" website: www.<code>.dnspractice.eu wijst naar 192.0.2.10 (A) en 2001:db8::10 (AAAA), met TTL 300. De mail van de oefenzone staat op mail.<code>.dnspractice.eu (192.0.2.25) met een MX-record (prioriteit 10). Speel een websiteverhuizing na:

Verlaag de TTL van de records van www.<code>.dnspractice.eu naar 60.
Laat www.<code>.dnspractice.eu wijzen naar de nieuwe server 198.51.100.10 en verwijder het AAAA-record: de nieuwe server heeft geen IPv6.
Zet de TTL van www.<code>.dnspractice.eu terug op 300.
Laat de mailrecords ongemoeid.

De oefenzone gebruikt korte TTL's (tussen 30 en 300 seconden), zodat je niet hoeft te wachten; bij je echte domein gebruik je bijvoorbeeld 3600 als standaard en 300 tijdens de verhuizing.3 en O6.3.

Opdracht O6.3 Deze opdracht doe je in je eigen oefenzone. De oefenzone komt later beschikbaar.

Verder lezen

De stappen in deze artikelen gaan over de panelen van WebOké; in andere panelen werkt het vergelijkbaar.

Cookies op WebOké

Cookie-instellingen

Noodzakelijk

Marketing