Migrazione DNS senza interruzioni: guida pratica

Una delle prime cose che fai quando ti sposti in una nuova casa è aggiornare il tuo indirizzo per ricevere la corrispondenza. Questo aggiornamento non per forza deve essere complicato, ma è fondamentale: in caso contrario, la corrispondenza potrebbe essere inviata al tuo vecchio indirizzo e né tu né il mittente saprebbero che la posta non ti è mai stata consegnata.

Lo stesso avviene per la migrazione DNS. Se non viene eseguita correttamente, il tuo sito web potrebbe diventare inaccessibile agli utenti, l'e-mail potrebbe non funzionare e causare problemi di comunicazione con i clienti, le integrazioni potrebbero interrompersi e altro ancora. Fondamentalmente, i clienti potrebbero non essere in grado di raggiungere la tua azienda all'indirizzo corretto, il che può portare a una serie di conseguenze negative.

Il sistema dei nomi di dominio (DNS) è come una rubrica o un elenco per Internet. Consente a un utente di accedere a un sito Web utilizzando un nome di dominio facile da ricordare, come IBM.com, anziché una stringa di numeri (in questo caso, 184.85.75.7).

Ma il DNS richiede molto più di una semplice traduzione e la qualità del servizio di un provider DNS gestito può influire su prestazioni, affidabilità, latenza, sicurezza, privacy e altro ancora. Quando il servizio DNS di un provider non soddisfa le aspettative o le esigenze, le aziende potrebbero cercare un nuovo provider. In questa situazione, sarà necessario pianificare una migrazione DNS.

La migrazione DNS, in cui un'organizzazione trasferisce le impostazioni e i record DNS di un dominio da un provider a un altro, non deve essere un'impresa così ardua come spesso invece viene presentata. Tuttavia, se non viene eseguita correttamente, questa pratica presenta dei rischi e potenziali grattacapi. Gli errori nella migrazione DNS possono causare tempo di inattività del server, vulnerabilità di rete e altro ancora. Ecco come evitare che tutto questo non si verifichi.

Ulteriori approfondimenti sulla procedura di ricerca DNS sono disponibili qui.

La risposta semplice è che non tutti i provider DNS offrono gli stessi servizi o la stessa qualità dei servizi. Le prestazioni sono una caratteristica principale, ma non sono l'unica preoccupazione.

Ad esempio, un provider DNS può anche offrire funzionalità di sicurezza per prevenire lo spoofing del DNS e bloccare l'accesso a domini dannosi noti o sospetti. Le funzionalità di monitoraggio e registrazione variano anche da fornitore a fornitore. Alcuni provider DNS offrono il bilanciamento del carico per il failover, in cui più server web ridondanti gestiscono le query DNS per evitare di sovraccaricare un server, o una content delivery network (CDN) che aiuta a memorizzare nella cache i contenuti più vicini agli utenti. Naturalmente, anche il costo potrebbe essere un fattore nella decisione di sostituire provider DNS.

I dirigenti aziendali devono scegliere il servizio più adatto alle proprie esigenze aziendali. Queste esigenze spesso si evolvono e i requisiti DNS potrebbero evolversi di conseguenza. Quando i servizi di un attuale provider DNS non soddisfano più le esigenze di un'azienda, i dirigenti aziendali possono prendere in considerazione la migrazione dei record DNS e della gestione a un nuovo provider.

In generale, esiste una ragione principale per cui numerose aziende ritardano questa azione: la sensazione che la migrazione sia troppo scoraggiante e che qualsiasi cambiamento comporti tempi di inattività. È una preoccupazione legittima, ma che può essere mitigata attraverso pianificazione ed esecuzioni attente.

Il primo passaggio di una migrazione DNS consiste nello specificare il motivo (o i motivi) della migrazione. Quali benefici cerca l'azienda e che attualmente non ha? Quali problemi deve risolvere l'azienda? Ad esempio, se un'azienda utilizza il DNS di un provider di servizi Internet (ISP) di piccole dimensioni, potrebbe scoprire che i tempi di risoluzione raggiungono i millisecondi a tre cifre. In tal caso, migliorare la velocità potrebbe essere una priorità.

Una volta che l'azienda ha identificato i motivi della migrazione, i team IT possono confrontare diversi servizi per trovare la giusta combinazione di caratteristiche, servizi e costi. Diversi fornitori offrono specifiche diverse per l'onboarding di una migrazione, ma esistono alcune linee guida generali da seguire.

Una volta che il team di migrazione ha selezionato un provider, deve raccogliere tutti i record e le informazioni correlate dal precedente provider DNS. Questi record possono includere quanto segue:

Questi record forniscono una traduzione diretta dal nome di dominio all'indirizzo IP. I record A mappano verso gli indirizzi IPv4 e i record AAAA mappano verso gli indirizzi IPv6. IPv6 sta diventando sempre più comune; offre un numero molto maggiore di indirizzi univoci e include alcune caratteristiche rudimentali di sicurezza e aumento della velocità.

I record di nomi canonici o record CNAME indirizzano un dominio alias verso un dominio canonico. Questo significa che questo tipo di record viene utilizzato per collegare sottodomini a record di dominio A oppure AAAA.

I record del nome della delega, o record DNAME, vengono utilizzati per reindirizzare più sottodomini con un record e indirizzarli a un altro dominio.

I record di autorizzazione dell'autorità di certificazione, o record CAA, consentono ai proprietari di dominio di specificare quali autorità di certificazione (CA) possono emettere certificati per il proprio dominio. Una CA è un'organizzazione che convalida l'identità dei siti Web e li collega alle chiavi crittografiche emettendo certificati digitali.

I record di testo, o record TXT, memorizzano informazioni testuali relative a domini e sottodomini. I record di testo consentono l'archiviazione dei record del framework della policy del mittente (SPF) e dei record di verifica dell'e-mail. I record DKIM e DMARC, memorizzati nei record TXT, aiutano i server di e-mail a confermare che un messaggio proviene da una fonte affidabile.

I record di inizio dell'autorità, o SOA, memorizzano importanti informazioni amministrative su un dominio. Queste informazioni possono includere l'indirizzo e-mail dell'amministratore del dominio, le informazioni sugli aggiornamenti del dominio e quando un server dovrebbe aggiornarne le informazioni.

I name server, o record NS, mostrano il server DNS che ha funzione di name server autorevoli per il tuo dominio. I name server autorevoli contengono le informazioni finali su un dominio specifico e il relativo indirizzo IP corrispondente. Un record NS indica tutti i diversi record che il tuo dominio detiene. Senza i record NS, agli utenti non sarà possibile accedere al tuo sito web.

Le zone DNS sono divisioni all'interno di uno spazio dei nomi DNS. IBM.com, ad esempio, ha una zona DNS separata su research.ibm.com. Questi sottodomini sono sufficientemente grandi da poter trarre vantaggio dalla gestione e dal monitoraggio individuali. I file di zona DNS includono la maggior parte dei tipi di file sopra menzionati: record SOA, record A e AAAA e altro ancora.

Esistono anche altri tipi di record DNS: leggi questa guida per ulteriori informazioni.

Alcuni provider offrono caratteristiche di automazione che raccolgono, esportano e importano i record DNS per te, ma spesso è consigliabile eseguire anche un backup: i record mancanti possono causare problemi seri. Ti consigliamo inoltre di memorizzare una copia di questi file in un luogo sicuro.

Un potenziale problema in questo processo potrebbe essere il DNSSEC, o le estensioni di sicurezza del sistema dei nomi di dominio. Il DNSSEC offre una preziosa suite di protezioni di sicurezza, che utilizza la verifica delle firme per garantire l'accuratezza e prevenire lo spoofing del DNS e altri attacchi.

Ma il processo di migrazione DNS può introdurre algoritmi di firma diversi, interrompendo la catena e causando interruzioni. Esistono diverse soluzioni per questo problema: alcuni provider offrono uno strumento di migrazione specifico per DNSSEC, che mantiene tale sicurezza. Per altri, potrebbe essere necessario disabilitare il DNSSEC prima della migrazione e quindi abilitarlo nuovamente una volta completata la migrazione.

Un'altra pratica consigliata è quella di abbassare i valori del time-to-live (TTL). Questo è il periodo di tempo in cui i risolutori ricorsivi, o server ricorsivi, la prima tappa di una query DNS, memorizzano gli indirizzi degli indirizzi IP dei siti Web visitati di recente nella cache. La cache elimina la necessità di cercare nuovamente l'indirizzo IP e contribuisce a offrire connessioni più veloci.

Ad esempio, se un TTL è impostato su 24 ore, quando un utente tenta di visitare un sito che ha migrato il suo server DNS entro tale lasso di tempo, il suo browser proverà a raggiungere il vecchio indirizzo IP, probabilmente generando un errore. Impostare il TTL su un valore molto basso, forse solo pochi minuti, può aiutare a evitare questo problema.

È consigliabile eseguire la migrazione in più fasi, anziché in una volta sola. La preparazione consente a un team di migrazione di controllare individualmente tutte le caratteristiche per individuare eventuali errori, piuttosto che tentare di capire cosa è andato storto durante l'intera operazione.

Una volta che il team ha esportato la documentazione DNS esistente e l'ha importata con il servizio del nuovo provider DNS, dovrebbe verificare i documenti per assicurarsi che nulla sia andato perso lungo il percorso. Uno strumento come [dig] può aiutare nella verifica. [Dig], o domain information groper, è uno strumento da riga di comando che consente agli utenti di controllare i documenti DNS, dall'indirizzo IP di base a TXT, SOA e altro ancora. Nslookup è un altro strumento da riga di comando, anche se più semplice di [dig], che restituisce risultati meno dettagliati.

Il team può quindi iniziare il trasferimento per fasi: web hosting, servizi di e-mail, quindi API e altri servizi di terze parti. È consigliabile che un membro del team controlli e risolva i problemi man mano che la migrazione procede. Configura le impostazioni avanzate, ad esempio l'abilitazione di DNSSEC. Una volta testato tutto su un server di test, il team può procedere con l'aggiornamento delle informazioni con il registrar.

Se l'azienda presenta un registrar di domini e un provider DNS separati, magari utilizzando IBM NS1 Connect for DNS e GoDaddy per il registro dei domini, il team deve accedere al servizio di registrazione dei domini e aggiornare i record del name server. Se l'azienda utilizza lo stesso provider per il DNS e il registro, spesso questa operazione può essere eseguita automaticamente. Non devi modificare nulla sul tuo host web stesso se non stai cambiando anche il tuo provider di hosting.

Un fattore importante: non eliminare ancora il tuo vecchio DNS . Questo è dovuto alla propagazione del DNS. I record DNS non cambiano immediatamente su Internet; i server di dominio sparsi impiegano tempo per cercare e aggiornare i propri record. Il team può controllare periodicamente lo stato dei record con strumenti online come WhatsMyDNS.net. In genere servono al massimo un giorno o due, ma durante questo periodo, vorrai che i tuoi servizi DNS siano in esecuzione mentre quei server di dominio aggiornano i propri record. In questo modo sarai sicuro che gli utenti non subiranno interruzioni.

Una volta completata la propagazione, la migrazione sostanzialmente è terminata. Mancano solo pochi e minimi lavori di aggiustamenti. Questo include:

Ripristino del TTL alla normalità: aumenta il TTL fino a 24 ore o qualsiasi altro intervallo temporale precedente per abilitare la memorizzazione nella cache per gli utenti.

Aggiornamento della documentazione interna: assicurati che le informazioni DNS (numero di conto, cicli di fatturazione, quel genere di cose) siano aggiornate all'interno dei registri organizzativi per evitare confusione.

Monitoraggio: esamina le prestazioni e altre metriche una volta completata la migrazione. I team IT possono esaminare i log DNS alla ricerca di eventuali errori o timeout, tenere traccia dei nuovi tempi di risposta, impostare avvisi per eventuali tempo di inattività e verificare periodicamente la propagazione. Numerosi provider DNS dispongono di strumenti di monitoraggio interni. Sono disponibili anche strumenti di terze parti.

Maggiori informazioni sui servizi DNS gestiti sono disponibili qui.