Sunucuyu ve sertifikayı amaçlanan ana makine adı için hazırlayın, genel DNS değiştirilmeden önce uygulamayı test edin ve geçiş sırasında eski ortamı kullanılabilir tutun. Yetkili kayıtları, önbelleğe alınmış yanıtları ve TLS'i bağımsız olarak doğrulayın. Tek başına bir DNS güncellemesi, doğru uygulamanın ve sertifikanın sunulduğunu kanıtlamaz.
Adları ve bağımlılıkları envantere alın
Ana alan adı, takma adlar, API uç noktaları ve uygulama geri çağırmaları dahil olmak üzere sitenin kullandığı her ana makine adını listeleyin. Kaydı kimin kontrol ettiğini ve yetkili DNS'i kaydedin. Bir uygulamayı barındırmak, alan adını otomatik olarak kaydetmez veya sunucu operatörüne kayıtlarının kontrolünü vermez. Yeni ortam doğrulanana kadar mevcut ortama erişimi koruyun.
Ayrıca taşımanın koruması gereken e-posta ve üçüncü taraf doğrulama kayıtlarını belirleyin. Bir web sitesi geçişi, tüm bir DNS bölgesini gelişigüzel değiştirmemelidir. Amaçlanan adresler ve bir geri alma değeri içeren kayıt düzeyinde bir değişiklik planı yapın. Kimlik bilgilerini özel olarak saklayın; runbook'un gerçek parolalara veya API belirteçlerine değil, sahiplere ve prosedürlere ihtiyacı vardır.
Yeni sunucuda ana makine adı yönlendirmesini hazırlayın
Bağlantı alan bir makine, ana makine adı için amaçlanan uygulamayı sunmalıdır. Web sunucusunu veya barındırma panelini buna göre yapılandırın; genel belge kökünü özel yapılandırmadan ve kimlik bilgilerinden ayırın. Yalnızca sunucunun adresi üzerinden erişilen genel bir karşılama sayfasını değil, gerekli tüm adları ve yönlendirmeleri test edin.
Genel değişiklikten önce amaçlanan ana makine adını yeni uç noktaya gönderen kontrollü bir test yöntemi kullanın. Uygulanabilir yerlerde oturum açmayı, yüklemeleri ve uygulama tarafından oluşturulan bağlantıları kontrol edin. Test sırasında üretim eylemlerini yineleyebilecek işleri devre dışı bırakın. Test, gerçek posta göndermeden, ödeme almadan veya eski canlı veritabanını istemeden değiştirmeden uygulama davranışını kanıtlamalıdır.
Bir sertifika doğrulama yöntemi seçin
Sertifika verilmesi, istenen adlar için kontrol kanıtı gerektirir. Let's Encrypt, doğrulama yöntemleri arasında HTTP-01 ve DNS-01'ü belgeler. HTTP doğrulaması, gerekli challenge'ın doğru şekilde sunulmasına bağlıdır; DNS doğrulaması belirli bir DNS kaydı kullanır ve joker sertifika verilmesini destekleyebilir. Gerçek dağıtıma uyan ve güvenli şekilde sürdürülebilen bir yöntem seçin.
Mümkün olduğunda doğrulama kimlik bilgilerini dar kapsamlı tutun. DNS otomasyonu özellikle hassastır çünkü geniş DNS kimlik bilgileri birden fazla web sitesini etkileyebilir. Sertifika yenilemeyi ve yenilenen dosyaların sunum sürecine nasıl ulaşacağını planlayın. Başarılı ilk veriliş yararlıdır, ancak bir sitenin ayrıca çalışan bir yenileme sürecine ve gerçekte sunduğu sertifikanın izlenmesine ihtiyacı vardır.
DNS değiştirilmeden önce önbellek penceresini planlayın
DNS kayıtları, çözümleyicilerin yanıtları önbelleğe alırken kullandığı bir yaşam süresi taşır. Bir kayıt değişikliği, önbelleğe alınmış her sonucu anında değiştirmez. Bir geçiş daha kısa TTL'den yararlanıyorsa, ayarlamayı önceden önbelleğe alınmış yanıtların süresi dolabilecek kadar erken planlayın. Hem eski hem de yeni ortamı tasarladığınız geçişi karşılayabilecek durumda tutun.
Bu örnek sıralama, hazırlığı genel geçişten ayırır. Zamanlaması alan adına, çözümleyici davranışına ve uygulamaya uyarlanmalıdır. Evrensel bir yayılma takvimi değildir. Canlı yazmalar içeren bir geçiş ayrıca uygulamaya özgü bir veri geçişi gerektirir, çünkü aksi halde iki çalışan web sunucusu değişiklikleri farklı veri kümelerine kabul edebilir.
| Aşama | Eylem | Devam etmeden önceki koşul |
|---|---|---|
| Hazırlık | Kayıtları envantere alın ve yeni uç noktayı yapılandırın | Uygulama amaçlanan adlar için çalışıyor |
| Sertifika | Sertifikayı verin ve kurun | Doğru zincir ve ana makine adı doğrulanıyor |
| Geçiş | Yalnızca planlanan DNS kayıtlarını güncelleyin | Veri geçişi ve geri alma tanımlandı |
| Gözlem | Yetkili ve istemci sonuçlarını kontrol edin | Kullanıcı yolculukları yeni uç nokta üzerinden başarılı |
| Tamamlama | Doğrulamadan sonra eski hizmeti devre dışı bırakın | Kalan trafik ve kurtarma ihtiyaçları incelendi |
DNS ve TLS'i ayrı ayrı doğrulayın
Önce yetkili kaydı kontrol edin, ardından geçişe dahil olan istemcilerden veya çözümleyicilerden gelen yanıtları karşılaştırın. Doğru bir yetkili değer ile daha eski bir önbelleğe alınmış değer bir arada bulunabilir. Her bağlantının zaten yeni adresi kullandığını varsaymak yerine tarayıcının ulaştığı uç noktayı inceleyin. Gözlemleri zaman damgalı tutun ki geçiş anlaşılabilir olsun.
TLS için amaçlanan ana makine adını, sertifika geçerliliğini ve zinciri gerçek bir istemci bağlantısı üzerinden doğrulayın. Gerekli her takma adı ve yönlendirme yolunu inceleyin. Mozilla'nın TLS belgeleri, sunucu kimlik doğrulamasını ve karma içerik sorunlarını açıklar: sayfa ve alt kaynakları güvenli şekilde sunulmalıdır. Bir ana makine adındaki sertifika, başka bir uygulama uç noktasını otomatik olarak kapsamaz.
Geri almayı da bir veri kararı yapın
Bir DNS geri alma işlemi trafiği yönlendirebilir, ancak yeni uygulamada yapılan yazmaları geri almaz. Geçişten önce bu veriyi nasıl ele alacağınızı tanımlayın. Statik bir yayın için geri alma basit olabilir; yükleme veya sipariş kabul eden bir hizmet için uygulama durumunun net bir sahibi ve uzlaştırma prosedürü olmalıdır.
Yorumları olan küçük bir yayın sitesini taşıdığınızı düşünün. Son veriler kopyalanırken bir bakım aralığı veya kontrollü salt okunur bir geçiş hazırlayabilirsiniz. Yeniden açma prosedürünü test edin ve eski dağıtımı hazır tutun. Tutarlılık planlamasının yerine bir DNS değişikliği koymak yerine uygulamaya uyan yaklaşımı seçin.
Geçişten sonra siteyi gözlemleyin
Yeni uç nokta trafik aldıktan sonra gerçek kullanıcı yolculuklarını, hata oranlarını, sertifika sunumunu ve arka plan görevlerini doğrulayın. Yedeklerin artık amaçlanan uygulamayı ve verileri kapsadığını teyit edin. Devre dışı bırakmadan önce eski sunucu erişimini inceleyin ve kurtarma ile geri alma ihtiyaçları çözüldüğünde kullanılmayan kimlik bilgilerini kaldırın. Nihai DNS ve sertifika yapılandırmasını kaydedin.
SwissOctet web barındırma veya işlem gücü seçerken, yapılandırma için gerçek alan adı, sertifika ve yönetim sorumluluklarını teyit edin. Katalog bir barındırma hedefi ve kaynakları sağlar; alan adınızın zaten bağlandığını veya sertifika yenilemenin yapılandırıldığını kanıtlamaz. Bu adımları dağıtım planında somut ve doğrulanabilir tutun.
Pratik kontrol listeniz.
- Her ana makine adını envantere alın ve ilgisiz DNS kayıtlarını koruyun.
- Genel geçişten önce ana makine adı yönlendirmesini test edin.
- Uygun bir sertifika challenge'ı seçin ve otomatikleştirin.
- TTL değişikliklerini ve veri geçişini planlayın.
- DNS ve TLS'i ayrı kontrollerle doğrulayın.
- Geri alma erişimini koruyun ve geri dönmeden önce yeni yazmaları çözün.
Önemli olan ayrıntılar.
Bir A kaydını değiştirmek HTTPS'ı etkinleştirir mi?+
Hayır. DNS bir uç nokta seçer; bu uç noktanın yine de doğru ana makine adı yönlendirmesine ve geçerli, kurulu bir sertifikaya ihtiyacı vardır.
Bir sorun olursa yalnızca DNS kaydını geri alabilir miyim?+
Trafik yönlendirilebilir, ancak uygulama yazmalarının ayrı ele alınması gerekir. Geçişten önce bir veri geri alma veya uzlaştırma planı tanımlayın.
Joker sertifika her zaman gerekli mi?+
Hayır. Sertifika adlarını ve doğrulamayı gerçek ana makine adlarına göre seçin. Joker sertifikanın belirli kapsam ve doğrulama gereksinimleri vardır; evrensel bir geçiş kısayolu değildir.
Kaynağa gidin.
Bu kaynaklar, bu kılavuzdaki teknik kavramları destekler. Bir üretim sistemini değiştirmeden önce güncel belgeleri izleyin.
- Let's Encrypt: Challenge türleri letsencrypt.org
- IETF RFC 1034: DNS kavramları ve olanakları datatracker.ietf.org
- Mozilla MDN: Aktarım Katmanı Güvenliği developer.mozilla.org
SwissOctet tarafından editoryal rehberlik. Örnekler açıklayıcıdır. Hizmet spesifikasyonları, mevcut seçenekler ve sözleşme koşulları ayrıca doğrulanmalıdır.