Valmistele palvelin ja sertifikaatti aiottua isäntänimeä varten, testaa sovellus ennen julkisen DNS:n muuttamista ja pidä vanha ympäristö saatavilla siirtymän ajan. Varmista valtuutetut tietueet, välimuistiin tallennetut vastaukset ja TLS erikseen. Pelkkä DNS-päivitys ei osoita, että oikeaa sovellusta ja sertifikaattia tarjoillaan.
Inventoi nimet ja riippuvuudet
Luettele jokainen isäntänimi, jota sivusto käyttää, mukaan lukien pääverkkotunnus, aliakset, API-päätepisteet ja sovelluksen takaisinkutsut. Kirjaa, kuka hallitsee rekisteröintiä ja valtuutettua DNS:tä. Sovelluksen isännöinti ei automaattisesti rekisteröi sen verkkotunnusta tai anna palvelimen ylläpitäjälle sen tietueiden hallintaa. Pidä pääsy nykyiseen ympäristöön, kunnes uusi on validoitu.
Tunnista myös sähköposti- ja kolmannen osapuolen vahvistustietueet, jotka siirron tulisi säilyttää. Verkkosivuston siirron ei tulisi huolettomasti korvata koko DNS-vyöhykettä. Tee tietuetason muutossuunnitelma aiotuilla osoitteilla ja palautusarvolla. Säilytä tunnistetiedot yksityisesti; runbook tarvitsee omistajat ja menettelyt, ei varsinaisia salasanoja tai API-tokeneita.
Valmistele isäntänimen reititys uudella palvelimella
Koneen, joka vastaanottaa yhteyden, on tarjoiltava isäntänimelleen aiottua sovellusta. Määritä verkkopalvelin tai isännöintipaneeli vastaavasti siten, että julkinen asiakirjajuuri on erotettu yksityisestä kokoonpanosta ja tunnistetiedoista. Testaa kaikki vaaditut nimet ja uudelleenohjaukset, ei vain yleistä tervetulosivua, joka saavutetaan palvelimen osoitteen kautta.
Käytä hallittua testausmenetelmää, joka lähettää aiotun isäntänimen uuteen päätepisteeseen ennen julkista muutosta. Tarkista kirjautuminen, lataukset ja sovelluksen luomat linkit soveltuvin osin. Poista käytöstä työt, jotka voisivat kopioida tuotantotoimia testauksen aikana. Testin tulisi todistaa sovelluksen toiminta lähettämättä oikeaa postia, vastaanottamatta maksuja tai muuttamatta vanhaa tuotantotietokantaa tahattomasti.
Valitse sertifikaatin vahvistusmenetelmä
Sertifikaatin myöntäminen edellyttää todistetta pyydettyjen nimien hallinnasta. Let's Encrypt dokumentoi HTTP-01 ja DNS-01 vahvistusmenetelmiensä joukossa. HTTP-vahvistus riippuu vaaditun haasteen tarjoilemisesta oikein; DNS-vahvistus käyttää määritettyä DNS-tietuetta ja voi tukea jokerimerkkimyöntöä. Valitse menetelmä, joka sopii todelliseen käyttöönottoon ja jota voidaan ylläpitää turvallisesti.
Pidä vahvistustunnistetiedot mahdollisimman kapeasti rajattuina. DNS-automaatio on erityisen herkkää, koska laajat DNS-tunnistetiedot voivat vaikuttaa useampaan kuin yhteen verkkosivustoon. Suunnittele sertifikaatin uusiminen ja se, miten uusitut tiedostot päätyvät tarjoiluprosessiin. Onnistunut ensimmäinen myöntäminen on hyödyllistä, mutta sivusto tarvitsee myös toimivan uusimisprosessin ja sen sertifikaatin valvonnan, jonka se todella esittää.
Suunnittele välimuisti-ikkuna ennen DNS:n muuttamista
DNS-tietueilla on elinaika, jota resolverit käyttävät vastausten välimuistiin tallentamisessa. Tietueen muutos ei välittömästi korvaa jokaista välimuistiin tallennettua tulosta. Jos siirtymä hyötyy lyhyemmästä TTL:stä, suunnittele säätö riittävän ajoissa, jotta aiemmin välimuistiin tallennetut vastaukset voivat vanhentua. Pidä sekä vanha että uusi ympäristö kykenevinä käsittelemään suunnittelemasi siirtymän.
Tämä havainnollistava järjestys erottaa valmistelun julkisesta käyttöönotosta. Sen ajoitus on sovitettava verkkotunnukseen, resolverien käyttäytymiseen ja sovellukseen. Se ei ole yleinen leviämisaikataulu. Siirto, johon liittyy reaaliaikaisia kirjoituksia, tarvitsee myös sovelluskohtaisen tietojen käyttöönoton, koska kaksi toimivaa verkkopalvelinta voi muuten hyväksyä muutoksia eri tietojoukkoihin.
| Vaihe | Toimenpide | Edellytys ennen jatkamista |
|---|---|---|
| Valmistelu | Inventoi tietueet ja määritä uusi päätepiste | Sovellus toimii aiottuja nimiä varten |
| Sertifikaatti | Myönnä ja asenna sertifikaatti | Oikea ketju ja isäntänimi validoituvat |
| Siirtymä | Päivitä vain suunnitellut DNS-tietueet | Tietojen käyttöönotto ja palautus on määritelty |
| Havainnointi | Tarkista valtuutetut ja asiakastulokset | Käyttäjäpolut onnistuvat uuden päätepisteen kautta |
| Valmistuminen | Poista vanha palvelu käytöstä validoinnin jälkeen | Jäännösliikenne ja palautustarpeet tarkasteltu |
Varmista DNS ja TLS erikseen
Tarkista ensin valtuutettu tietue ja vertaa sitten vastauksia asiakkailta tai resolvereilta, jotka osallistuvat siirtymään. Oikea valtuutettu arvo ja vanhempi välimuistiin tallennettu arvo voivat esiintyä samanaikaisesti. Tarkista selaimen saavuttama päätepiste sen sijaan, että olettaisit jokaisen yhteyden jo käyttävän uutta osoitetta. Pidä havainnot aikaleimattuina, jotta siirtymä on ymmärrettävissä.
Varmista TLS:n osalta aiottu isäntänimi, sertifikaatin voimassaolo ja ketju todellisen asiakasyhteyden kautta. Tarkista jokainen vaadittu alias ja uudelleenohjauspolku. Mozillan TLS-dokumentaatio selittää palvelimen todennuksen ja sekasisältöön liittyvät huolet: sivu ja sen aliresurssit tulisi toimittaa turvallisesti. Yhden isäntänimen sertifikaatti ei automaattisesti kata toista sovelluksen päätepistettä.
Tee palautuksesta myös tietopäätös
DNS-palautus voi ohjata liikennettä uudelleen, mutta se ei peru uudessa sovelluksessa tehtyjä kirjoituksia. Määrittele, miten käsittelet nämä tiedot ennen käyttöönottoa. Staattisen julkaisun palautus voi olla suoraviivainen; palvelun, joka vastaanottaa latauksia tai tilauksia, sovelluksen tila tarvitsee selkeän omistajan ja täsmäytysmenettelyn.
Kuvittele siirtäväsi pientä julkaisusivustoa, jossa on kommentteja. Voit valmistella huoltovälin tai hallitun vain luku -tilassa tapahtuvan siirtymän, kun lopulliset tiedot kopioidaan. Testaa uudelleenavausmenettely ja pidä vanha käyttöönotto valmiina. Valitse sovellukseen sopiva lähestymistapa sen sijaan, että käyttäisit DNS-muutosta yhdenmukaisuuden suunnittelun korvikkeena.
Tarkkaile sivustoa vaihdon jälkeen
Varmista todelliset käyttäjäpolut, virheprosentit, sertifikaatin esittäminen ja taustatehtävät, kun uusi päätepiste vastaanottaa liikennettä. Varmista, että varmuuskopiot kattavat nyt aiotun sovelluksen ja tiedot. Tarkastele vanhan palvelimen käyttöoikeuksia ennen käytöstä poistamista ja poista vanhentuneet tunnistetiedot, kun palautus- ja peruutustarpeet on ratkaistu. Kirjaa lopullinen DNS- ja sertifikaattikokoonpano.
Kun valitset SwissOctet-verkkopalvelua tai laskentatehoa, vahvista kokoonpanon todelliset verkkotunnus-, sertifikaatti- ja hallintavastuut. Luettelo tarjoaa isännöintikohteen ja resursseja; se ei osoita, että verkkotunnuksesi on jo yhdistetty tai että sertifikaatin uusiminen on määritetty. Pidä nämä vaiheet konkreettisina ja todennettavina käyttöönottosuunnitelmassa.
Käytännön tarkistuslistasi.
- Inventoi jokainen isäntänimi ja säilytä muihin liittymättömät DNS-tietueet.
- Testaa isäntänimen reititys ennen julkista käyttöönottoa.
- Valitse ja automatisoi sopiva sertifikaattihaaste.
- Suunnittele TTL-muutokset ja tietojen siirtymä.
- Varmista DNS ja TLS erillisillä tarkistuksilla.
- Säilytä palautuskäyttöoikeus ja ratkaise uudet kirjoitukset ennen palauttamista.
Olennaiset yksityiskohdat.
Aktivoiko A-tietueen muuttaminen HTTPS:n?+
Ei. DNS valitsee päätepisteen; tämä päätepiste tarvitsee edelleen oikean isäntänimen reitityksen ja voimassa olevan, asennetun sertifikaatin.
Voinko palauttaa vain DNS-tietueen, jos jotain menee rikki?+
Liikenne voidaan ohjata uudelleen, mutta sovelluksen kirjoitukset vaativat erillisen käsittelyn. Määrittele tietojen palautus- tai täsmäytyssuunnitelma ennen siirtoa.
Tarvitaanko jokerimerkkisertifikaatti aina?+
Ei. Valitse sertifikaattinimet ja vahvistus todellisten isäntänimien mukaan. Jokerimerkillä on tietyt kattavuus- ja vahvistusvaatimukset; se ei ole yleinen siirron oikopolku.
Mene lähteelle.
Nämä lähteet tukevat tämän oppaan teknisiä käsitteitä. Noudata ajantasaisia dokumentaatioita ennen tuotantojärjestelmän muuttamista.
- Let's Encrypt: Haasteen tyypit letsencrypt.org
- IETF RFC 1034: DNS-käsitteet ja -ominaisuudet datatracker.ietf.org
- Mozilla MDN: Transport Layer Security developer.mozilla.org
Toimituksellinen ohjaus: SwissOctet. Esimerkit ovat havainnollistavia. Palvelumääritykset, saatavilla olevat vaihtoehdot ja sopimusehdot on tarkistettava erikseen.