Migration DNS sans heurts : votre guide pratique

L’une des premières choses que vous faites lorsque vous déménagez est de signaler le changement d’adresse. Cette mise à jour n’est pas nécessairement compliquée, mais elle est essentielle. Sinon, votre courrier est susceptible d’être envoyé à votre ancienne adresse, sans que vous ni l’expéditeur ne sachiez qu’il n’a pas été distribué.

C’est pareil pour la migration DNS. Si cette dernière n’est pas réalisée correctement, votre site Web peut devenir inaccessible aux utilisateurs, les e-mails peuvent ne plus fonctionner et affecter la communication avec les clients, les intégrations peuvent être interrompues, et plus encore. Bref, les clients risquent de ne pas pouvoir joindre votre entreprise, ce qui peut entraîner toute une série de conséquences négatives.

Le système de noms de domaine (DNS) est comparable à un annuaire téléphonique ou un annuaire Internet. Il permet aux utilisateurs d’accéder à un site Web à l’aide d’un nom de domaine facile à mémoriser, tel qu’IBM.com, à la place d’une chaîne de chiffres (dans ce cas, 184.85.75.7).

Mais le DNS va bien au-delà d’une simple traduction, et la qualité du service d’un fournisseur de DNS géré peut avoir une incidence sur les performances, la fiabilité, la latence, la sécurité, la confidentialité et bien plus encore. Lorsqu’un service DNS ne répond pas à leurs attentes ou à leurs besoins, les entreprises pourraient rechercher un nouveau fournisseur. Dans ce cas, elles devront planifier une migration DNS.

La migration DNS, qui consiste pour les entreprises à transférer les enregistrements et les paramètres DNS d’un fournisseur à un autre, est moins compliquée qu’on ne croit. Si elle n’est pas exécutée correctement, elle s’accompagne toutefois de risques et d’obstacles. Les erreurs peuvent entraîner des temps d’arrêt, des vulnérabilités du réseau et bien plus encore. Voici comment les éviter.

Pour en savoir plus sur le processus de recherche DNS, cliquez ici.

Pour simplifier, tous les fournisseurs DNS n’offrent pas le même type ni la même qualité de services. Si la performance est essentielle, ce n’est pas la seule préoccupation.

Par exemple, les fournisseurs DNS peuvent également fournir des fonctionnalités de sécurité pour empêcher l’usurpation DNS et bloquer l’accès des domaines malveillants connus ou susceptibles de l’être. Les capacités de surveillance et de journalisation varient également d’un fournisseur à l’autre. Certains fournisseurs DNS proposent un équilibrage de charge à des fins de basculement, au cours duquel plusieurs serveurs Web redondants traitent les requêtes DNS pour éviter de surcharger les serveurs, ou un réseau de diffusion de contenu (CDN) mondial, qui permet de mettre en cache le contenu plus près des utilisateurs. Bien sûr, le coût peut également être une raison de vouloir changer de fournisseur DNS.

Les chefs d’entreprise doivent choisir le service qui répond le mieux à leurs besoins. Ces derniers évoluent souvent, au même titre que les exigences en matière de DNS. Lorsque les services du fournisseur DNS actuel ne répondent plus aux besoins de l’entreprise, les dirigeants peuvent envisager de faire migrer leurs enregistrements et gestion DNS vers un nouveau fournisseur.

D’une manière générale, les entreprises tergiversent principalement par crainte que ce changement n’entraîne des temps d’arrêt. Il s’agit d’une préoccupation légitime, mais facile à surmonter grâce à une planification et à une exécution minutieuses.

La première étape d’une migration DNS consiste à en spécifier la ou les raisons. Quels sont les avantages que l’entreprise cherche à se procurer ? Quels problèmes l’entreprise doit-elle résoudre ? Par exemple, si une entreprise utilise le DNS d’un petit fournisseur d’accès Internet (FAI), le temps de résolution constaté peut s’élever à une ou plusieurs centaines de millisecondes. Dans ce cas, l’amélioration de la vitesse peut être une priorité.

Une fois que l’entreprise a identifié les motifs de migration, les équipes informatiques comparent les différents offres pour trouver la bonne combinaison de fonctionnalités, de services et de coûts. Si chaque fournisseur a ses propres exigences en matière de migration, il existe quelques lignes directrices générales à suivre.

Une fois que l’équipe chargée de la migration a choisi le fournisseur, elle doit récupérer tous les enregistrements et les informations connexes auprès de l’ancien fournisseur de DNS. Voici quelques exemples d’enregistrements :

Ces enregistrements permettent de traduire directement le nom de domaine en adresse IP. Les enregistrements A concernent les adresses IPv4, et les enregistrements AAAA portent sur les adresses IPv6. Devenu de plus en plus courant, IPv6 offre un nombre beaucoup plus grand d’adresses IP uniques et comprend des fonctions rudimentaires de sécurité et d’accélération.

Les enregistrements de noms canoniques, ou enregistrements CNAME, redirigent un domaine alias vers un domaine canonique. Cela signifie que ce type d’enregistrement est utilisé pour lier des sous-domaines aux enregistrements du domaine A ou AAAA.

Les enregistrements de nom de délégation, ou enregistrements DNAME, sont utilisés pour rediriger plusieurs sous-domaines avec un seul enregistrement vers un autre domaine.

Les enregistrements d’autorisation d’autorité de certification, ou enregistrements CAA, permettent aux propriétaires de domaines de spécifier les autorités de certification (CA) pouvant émettre des certificats pour leur domaine. Une autorité de certification est une organisation qui valide l’identité des sites Web et les relie à des clés cryptographiques en émettant des certificats numériques.

Les enregistrements texte, ou TXT, stockent des informations textuelles relatives aux domaines et sous-domaines. Ils permettent de stocker des enregistrements du cadre de stratégie de l’expéditeur (SPF) et des enregistrements de vérification des e-mails. Les enregistrements DKIM et DMARC, qui sont stockés dans des enregistrements TXT, aident les serveurs de messagerie à confirmer qu’un message provient d’une source fiable.

Les enregistrements de début d’autorité, ou enregistrements SOA, stockent des informations administratives importantes sur un domaine. Ces informations peuvent comprendre l’adresse électronique de l’administrateur du domaine, des informations sur les mises à jour du domaine et le moment où un serveur doit actualiser ses informations.

Le serveur de noms, ou enregistrements NS, indique le serveur DNS qui fait autorité pour un domaine donné. Les serveurs de noms faisant autorité contiennent les informations finales sur un domaine spécifique et son adresse IP correspondante. Un enregistrement NS pointe vers tous les enregistrements détenus par votre domaine. Sans enregistrements NS, les utilisateurs ne pourront pas accéder à votre site Web.

Les zones DNS sont des divisions au sein d’un espace de noms DNS. IBM.com, par exemple, possède une zone DNS distincte : research.ibm.com. Ces sous-domaines sont suffisamment grands pour bénéficier d’une gestion et d’un suivi individuels. Les fichiers de zone DNS comprennent la plupart des types de fichiers susmentionnés : enregistrements SOA, enregistrements A et AAAA, etc.

Il existe également d’autres types d’enregistrements DNS : consulter ce guide pour plus d’informations.

Certains fournisseurs proposent des fonctions d’automatisation qui rassemblent, exportent et importent les enregistrements DNS pour vous, mais il est souvent conseillé d’effectuer également une sauvegarde manuelle car les enregistrements manquants peuvent entraîner de graves problèmes. Vous devrez également conserver une copie de ces fichiers dans un endroit sûr.

Le protocole DNSSEC (extensions de sécurité du système de noms de domaine) peut constituer un obstacle à ce processus. Le DNSSEC propose une suite de protections et utilise la vérification des signatures pour garantir l’exactitude et empêcher l’usurpation DNS, ainsi que d’autres attaques.

Mais le processus de migration du DNS peut introduire des algorithmes de signature différents, ce qui rompt la chaîne et provoque des pannes. Il existe différentes solutions à ce problème : certains fournisseurs proposeront un outil de migration spécifique au DNSSEC pour assurer cette sécurité. Pour d’autres, il peut s’avérer nécessaire de désactiver le DNSSEC avant la migration et de le réactiver une fois cette dernière terminée.

Une autre pratique recommandée consiste à réduire les valeurs de durée de vie (TTL). Il s’agit de la durée pendant laquelle les résolveurs récursifs, ou serveurs récursifs, le premier arrêt d’une requête DNS, stockent en cache les adresses IP des sites Web récemment consultés. La mise en cache élimine la nécessité de rechercher à nouveau l’adresse IP et permet de fournir des connexions plus rapides.

Si la durée de vie est définie, par exemple, sur 24 heures, lorsqu’un utilisateur tente de visiter un site ayant fait migrer son serveur DNS dans ce délai, son navigateur tentera d’accéder à l’ancienne adresse IP, ce qui entraînera probablement une erreur. Définir une durée de vie très faible, de quelques minutes seulement, permettra d’éviter ce problème.

Il est conseillé d’effectuer la migration par étapes, et non en une seule fois. Le transfert permet à l’équipe chargée de la migration de vérifier chaque fonctionnalité individuellement pour détecter les erreurs, au lieu de chercher ce qui n’a pas fonctionné durant l’opération.

Une fois que l’équipe a exporté la documentation existante et l’a importée avec le service du nouveau fournisseur DNS, elle doit vérifier les documents pour s’assurer que rien n’a été perdu en cours de route. Un outil comme [dig] facilitera la vérification. [Dig] (domain information groper) est un outil de ligne de commande qui permet aux utilisateurs de vérifier les documents DNS, des adresses IP de base aux TXT et SOA. Nslookup est un autre outil de ligne de commande, bien plus simple que [dig], qui renvoie des résultats moins détaillés.

Ensuite, l’équipe peut commencer le transfert par étapes : hébergement web, services de messagerie, puis API et autres services tiers. Il est préférable qu’un membre de l’équipe les vérifie et les dépanner individuellement au fur et à mesure que la migration progresse. Il faut configurer les paramètres avancés tels que l’activation du protocole DNSSEC. Une fois que tout est testé sur un serveur prévu à cet effet, l’équipe peut procéder à la mise à jour des informations auprès du bureau d’enregistrement.

Si l’entreprise dispose d’un bureau d’enregistrement de domaine et d’un fournisseur DNS distincts (par exemple, IBM NS1 Connect pour le DNS et GoDaddy pour le registre de domaine), l'équipe doit se connecter au service d'enregistrement de domaine et mettre à jour les enregistrements du serveur de noms. Si l’entreprise fait appel au même fournisseur pour le DNS et le registre, cela peut souvent se faire automatiquement. Si vous ne changez pas de fournisseur d’hébergement, vous n’aurez pas besoin de changer quoi que ce soit sur votre hôte Web. 

Important : ne pas supprimer l’ancien DNS pour l’instant, et ce pour des raisons de propagation DNS. En effet, les enregistrements DNS ne changent pas instantanément sur Internet ; il faut du temps aux serveurs de domaine dispersés pour rechercher et mettre à jour leurs enregistrements. L’équipe peut vérifier périodiquement l’état des enregistrements à l’aide d’outils en ligne comme WhatsMyDNS.net. Pendant que les serveurs de domaine mettent à jour leurs enregistrements, à savoir un ou deux jours maximum, vos anciens et nouveaux services DNS doivent tous deux s’exécuter. Cela évite de perturber l’activité des utilisateurs.

Une fois la propagation terminée, la migration est pratiquement achevée. Il ne reste plus que quelques travaux de finition. Exemples :

Restaurer la durée de vie à la normale : augmenter la durée de vie jusqu’à 24 heures, ou rétablir sa valeur antérieure, afin d’activer la mise en cache pour les utilisateurs.

Mettre à jour la documentation interne : assurez-vous que les informations DNS (numéro de compte, cycles de facturation, etc.) sont mises à jour dans les enregistrements de l’organisation afin d’éviter toute confusion.

Surveiller : examiner la performance et autres indicateurs après la migration. Les équipes informatiques peuvent consulter les journaux DNS pour détecter toute erreur ou tout dépassement de délai, suivre les nouveaux temps de réponse, configurer les alertes d’indisponibilité et vérifier périodiquement la propagation. De nombreux fournisseurs DNS disposent d’outils de surveillance internes. Des outils tiers sont également disponibles.

Pour en savoir plus sur les services DNS gérés, cliquez ici.