O DNS numa transferência

Módulo 6: Tempo, cache e transferência de domínio · Tempo de leitura: 10 minutos

Objetivo de aprendizagem: Após esta lição, saberá planear uma transferência do seu website, do seu e-mail ou da sua gestão de DNS de forma a que os visitantes não notem nada e não perca correio.

Conceitos-chave: tipos de transferência, ordem dos passos, reduzir o TTL antecipadamente, preparar os registos, cópia de segurança da zona, testar antes da mudança (ficheiro hosts, endereço de pré-visualização), correio durante a mudança, verificação prévia junto da registry, DNSSEC e o registo DS

Quatro tipos de transferência

"Vou transferir o meu domínio" pode significar quatro coisas diferentes. Ajuda imenso perceber primeiro a qual delas se refere, pois cada tipo afeta registos diferentes.

Muitas vezes, vários destes processos ocorrem em simultâneo, por exemplo quando transfere tudo de um fornecedor para outro. Nesse caso, aplicam-se as armadilhas de todos os quatro tipos.

A ordem de ouro

O princípio mais importante: preparar tudo primeiro no novo local e só depois fazer a mudança. A mudança em si é uma ação pequena, alguns registos ou os servidores de nomes. Tudo o que possa ser feito antes da mudança, faça-o antes da mudança.

Alguns dias antes

1. Faça uma cópia de segurança da sua zona atual. Exporte os registos, faça uma captura de ecrã ou anote-os. Sem um registo do que existia, mais tarde não saberá o que falta. Muitos painéis têm um botão para uma cópia de segurança do DNS.
2. Faça um inventário. Percorra cada linha e anote para que serve: website, correio, verificação junto da Google ou Microsoft, um serviço de newsletter, um subdomínio para uma loja online. São precisamente estes registos extra (TXT de verificação, CNAME para DKIM de um serviço de newsletter) que são frequentemente esquecidos nas transferências.
3. Prepare o novo ambiente. O website está no novo servidor, as caixas de correio existem no novo fornecedor de e-mail.
4. Teste antes da mudança. Pode ver um website num novo servidor sem alterar o DNS: com uma linha no seu ficheiro hosts, ou com um endereço de teste ou de pré-visualização fornecido pelo novo fornecedor. Não se esqueça de remover essa linha do ficheiro hosts depois de terminar.

Pelo menos um TTL antigo de antecedência

5. Reduza o TTL dos registos que vai alterar para 300 segundos (lição 6.1). Se o TTL estava em 3600, faça isto pelo menos uma hora antes; para maior segurança, um dia antes. Se estava em 86400, faça-o pelo menos um dia antes.

Atenção: o TTL dos registos NS junto da registry (lição 6.2) não pode ser reduzido por si. Numa mudança de servidores de nomes, esse tempo de espera existe sempre.

A mudança

6. Altere os registos (numa transferência de website ou e-mail), ou altere os servidores de nomes junto do seu registrar (numa transferência da gestão de DNS).
7. Verifique imediatamente junto do servidor de nomes autoritativo se os novos valores já lá estão (dig A example.com @ns1.newhost.example).

Depois

8. Verifique tudo: o website via http e https, o certificado, um e-mail de teste de ida e volta, e uma verificação online dos registos MX, SPF, DKIM e DMARC.
9. Reponha o TTL em 3600 assim que tudo estiver a funcionar.
10. Só cancele o serviço antigo quando, durante alguns dias, deixar de chegar correio ou visitas ao local antigo. Se cancelar demasiado cedo, o seu site ou correio pode ficar indisponível, ou, no pior dos casos, o seu domínio pode expirar.

Uma transferência da gestão de DNS

Se transferir o seu DNS para outra entidade (outros servidores de nomes), há uma regra extra: a zona tem de estar completa junto da nova entidade antes de alterar os servidores de nomes. A partir do momento da mudança, é a nova entidade que determina todas as respostas. O que lá faltar, deixa de existir.

Leve consigo esta lista como mínimo:

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (ou um CNAME)
mail       A      192.0.2.25        (se o seu MX apontar para mail.example.com)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (o seletor varia consoante a entidade)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Mais todos os subdomínios, registos de verificação e registos de serviços externos.

Algumas registries verificam os novos servidores de nomes antes de aceitarem a alteração. A DENIC (a registry de .de) verifica, por exemplo, se os novos servidores de nomes já respondem pelo domínio. Se a zona ainda não estiver lá, a alteração é recusada. Também por isso: preparar primeiro a zona.

Exemplo prático

Um domínio foi ligado a um construtor de sites ao direcionar os servidores de nomes para essa plataforma. A plataforma criou automaticamente um registo MX a apontar para mail.example.com e um registo SPF, mas não criou um registo A para mail.example.com. O resultado: enviar funcionava, receber não. Qualquer servidor de correio que tentasse entregar e-mail não encontrava nenhum endereço para o nome indicado no MX. Um único registo A junto da plataforma resolveu o problema. Lição: ao transferir os servidores de nomes, também tem de levar consigo cada registo para o qual outro registo aponta.

E-mail durante a mudança

Durante o período de transição, parte do correio continua a chegar ao local antigo: remetentes com uma resposta antiga em cache entregam aí. Isso é normal e não é um problema, desde que consulte ambas as caixas de correio.

• Configure já a nova caixa de correio no seu programa de e-mail, com o nome de servidor indicado pela nova entidade (não mail.example.com, pois esse nome aponta durante a mudança para locais variáveis).
• Mantenha também a caixa de correio antiga no seu programa de e-mail até deixar de chegar algo durante alguns dias.
• Copie o correio antigo com uma ferramenta de migração da nova entidade ou com um programa de cópia IMAP.
• Numa transferência de e-mail, não se esqueça do registo SPF: a nova entidade tem de constar nele, e enquanto a antiga ainda enviar correio (por exemplo o formulário de contacto do seu website), também tem de lá continuar.

DNSSEC numa transferência

Se o seu domínio usar DNSSEC (lição 8.1), existe junto da registry um registo DS: uma impressão digital da chave com que a sua atual entidade de DNS assina a zona. Se transferir a sua gestão de DNS, a nova entidade assina com uma chave diferente. Se o DS antigo permanecer junto da registry, a impressão digital deixa de corresponder. Os resolvers validadores (e há muitos) devolvem então SERVFAIL: todo o seu domínio fica inacessível para eles, tanto o website como o e-mail.

A abordagem segura:

1. Peça para remover o DS junto da registry (desativar o DNSSEC) e aguarde que o TTL do DS expire.
2. Mude os servidores de nomes.
3. Ative o DNSSEC junto da nova entidade e peça para colocar o novo DS junto da registry.

Existe também um método que permite transferir sem interrupção do DNSSEC (as chaves de ambas as entidades temporariamente lado a lado), mas este requer a colaboração de ambas as entidades e está longe de ser suportado em todo o lado. Se, numa transferência, algo correr mal e o seu domínio ficar subitamente inacessível apesar de os registos parecerem corretos, verifique primeiro o DNSSEC.

Na prática: como se apresenta num painel

No painel de exemplo O meu WebOké, faz uma cópia de segurança de toda a zona no separador DNS com um único botão, e repõe-na com um único clique se algo correr mal. Uma transferência do próprio domínio inicia-se aí no Centro de Transferências, e o cartão Domínio / E-mail saúde mostra, após a mudança, se os servidores de nomes, o registo A, o certificado, o MX, o SPF, o DMARC e o DNSSEC estão corretos. Outras entidades oferecem frequentemente uma exportação da zona (por vezes como ficheiro de zona que pode importar junto da nova entidade) e uma verificação semelhante; se o seu painel não tiver isso, faça uma captura de ecrã da lista de registos.

Resumo

• Determine primeiro o que vai ser transferido: website, e-mail, gestão de DNS ou registo.
• A cópia de segurança, o inventário, a preparação do novo ambiente e os testes acontecem antes da mudança.
• Reduza o TTL pelo menos um TTL antigo de antecedência e reponha-o depois.
• Numa transferência da gestão de DNS, a zona tem de estar completa junto da nova entidade antes da mudança dos servidores de nomes; não se esqueça de registos como o registo A do servidor de correio.
• Com DNSSEC: primeiro remover o DS antigo, depois mudar, depois colocar o novo DS.
• Durante a mudança, consulte ambas as caixas de correio e só cancele o serviço antigo quando tudo estiver a funcionar.

Quiz

Exercício

Exercício Z6.3: Inventário de transferência. Faça um inventário de transferência do seu próprio domínio (ou, se não tiver domínio, de sidn.nl, a website da SIDN, a registry do .nl na Holanda). Procure e preencha: os servidores de nomes, os registos A e AAAA de @ e www, os registos MX, o registo SPF, o registo DMARC e se existe um registo DS. O programa compara cada valor com aquilo que o DNS responde atualmente.

Exercício O6.3: Configurar você mesmo na sua zona de treino. Na sua zona de treino <code>.dnspractice.eu existe um pequeno website "já existente": www.<code>.dnspractice.eu aponta para 192.0.2.10 (A) e 2001:db8::10 (AAAA), com TTL 300. O correio da zona de treino está em mail.<code>.dnspractice.eu (192.0.2.25) com um registo MX (prioridade 10). Simule uma transferência de website:

1. Reduza o TTL dos registos de www.<code>.dnspractice.eu para 60.
2. Faça www.<code>.dnspractice.eu apontar para o novo servidor 198.51.100.10 e remova o registo AAAA: o novo servidor não tem IPv6.
3. Reponha o TTL de www.<code>.dnspractice.eu em 300.
4. Não altere os registos de correio.

A zona de treino usa TTLs curtos (entre 30 e 300 segundos), para não ter de esperar; no seu domínio real, utilize por exemplo 3600 como padrão e 300 durante a transferência.

Para saber mais

Os passos descritos nestes artigos referem-se aos painéis da WebOké; noutros painéis o funcionamento é semelhante.

• Mudar o domínio, o site e o email em conjunto sem interrupções: o plano de ação
• Utilizar nameservers próprios ou externos (como a Cloudflare) para o seu domínio
• O seu site ou e-mail não funciona após uma migração ou alteração de DNS: verifique o seu domínio
• Fazer e restaurar uma cópia de segurança do seu DNS
• Receber e-mail durante a transferência do nome de domínio
• Ver o seu site na WebOké antes de transferir o nome de domínio
• Manual DirectAdmin 18.7: O meu domínio ainda não funciona após uma transferência ou alteração
• Manual DirectAdmin 18.8: Testar o meu website antes de o domínio ser transferido
• Manual do WebOké 5.7: Repor o DNS e criar uma cópia de segurança do DNS
• Manual do WebOké 5.8: DNSSEC e DANE