הגדירו אם זו רשומה אחת או החלפת סמכות
בררו אצל מי הדומיין רשום, מי מחזיק את אזור ה-DNS הסמכותי ומי מאשר שינוי. המסך אצל הרשם אינו בהכרח המקום שבו עורכים את הרשומות הפעילות. לפני שינוי צלמו או ייצאו את המצב הקיים ושמרו תיאור של תפקיד כל רשומה, בלי לפרסם מידע רגיש מיותר.
שינוי כתובת של האתר אינו מחייב בהכרח העברת שרתי שמות. בהחלפת שרתי שמות צריך לדאוג לאזור היעד כולו, כולל דואר, אימותי שירות ותתי-דומיין. לא מוחקים ערך רק כי לא מזהים אותו; קודם מבררים מי משתמש בו.
מפו את השירותים שיכולים להיפגע
הטבלה עוזרת להפוך ערכי DNS לתפקוד עסקי. זו אינה תבנית להעתקת כתובות ספק. לכל מערכת בודקים את הערך שאושר עבור הדומיין והחשבון המסוימים.
| תחום | מה למפות | בדיקה לאחר שינוי |
|---|---|---|
| אתר | שמות מארח ויעד נדרש | חיבור ופעולה עסקית |
| דואר נכנס | MX והיעד המצופה | שליחה מבחוץ וקבלה |
| דואר יוצא | SPF, DKIM ו-DMARC ושולחים | הודעת ניסיון וכותרות |
| שירותים נוספים | רשומות אימות ותתי-דומיין | הפעולה שהשירות צריך לבצע |
תכננו מטמון ו-TTL בלי לסמוך על זמן אחיד
TTL מתאר זמן שמירה של נתון במטמון במסגרת DNS. אם שוקלים להפחית אותו לקראת מעבר, עושים זאת בזמן שמאפשר לערך הקודם להתיישן. שינוי הערך ברגע המעבר אינו גורם לכל לקוח לשכוח מיד תשובה שכבר נשמרה.
בדקו תשובות סמכותיות לצד תצפיות מהמערכות הרלוונטיות, ותעדו מתי נצפו. אין די בכך שהתוצאה השתנתה אצל מחשב אחד. דרך חזרה צריכה לכלול את ערכי המקור ואת השפעת המטמון; החלפה חוזרת ונשנית עלולה להקשות להבין מי עדיין מגיע לאיזה יעד.
התייחסו לדואר ול-DNSSEC כשתי תלויות מפורשות
ב-Cloudflare רשומות המשמשות דואר מצריכות הגדרה מתאימה, ואינן נהפכות לתעבורת דואר מוגנת רק מפני שהאתר משתמש בפרוקסי. בדקו את תיעוד ספק הדואר ואת ערכי היעד במקום להעתיק דוגמה כללית. שינויים במנגנון ניתוב דואר יכולים ליצור התנגשות אם לא מופו.
אם DNSSEC פעיל, החלפת ספק או מפתחות מחייבת תכנון של שרשרת האימות ורשומות DS. אי-התאמה יכולה לגרום לכשל אצל פותרים מאמתים. אין לכבות או למחוק DS כפעולה גורפת מתוך מדריך כללי; מנהל מורשה צריך לבחור מסלול שמתאים לרשם ולשני הספקים ולתעד את תזמונו.
דוגמה: מעבירים אתר אבל משאירים את הדואר
התרחיש להמחשה. העסק מעביר את האתר לאחסון חדש, בעוד הדואר נשאר אצל אותו ספק. האחראי מאשר אילו רשומות אתר ישתנו, ממפה רשומות דואר ושירותים אחרים ושומר את מצבן. לפני השינוי בודקים שהיעד החדש מוכן לקבל את שם המארח ואת החיבור המאובטח.
בסיום בודקים אתר, טופס ודואר, ולא רק שכתובת IP השתנתה. אם מחליפים גם שרתי שמות, מכינים את כל אזור היעד לפני המעבר. הגעת דף הבית אינה מוכיחה ששולח האתר, ההודעות האוטומטיות או אימות הדומיין עדיין עובדים.
קבעו שערי אישור, עצירה ודרך חזרה
לפני החלון רשמו מי מבצע, מי מאשר, אילו בדיקות נדרשות ומה יעצור את השינוי. השאירו גישה מורשית לספקים ושמרו את דרך החזרה בהיקף שאפשר לבצע. אין לסגור מיד שירות ישן אם הוא נדרש לאימות מעבר או לקליטת פעילות שנשלחת אליו עדיין.
בתקלה, השוו את המצב ליעד המתועד והבחינו בין DNS, תעודה ויישום. בודק ה-DNS באתר מספק תצפיות ציבוריות בלבד; הוא אינו מוכיח שכל הדואר נמסר או שכל שרשרת DNSSEC תקינה. כשאין בעלות, ערכים מאושרים או הבנת תלויות, עוצרים ותואמים בירור לפני שינוי נוסף.
