# Sổ tay vận hành chuyển đổi tên miền, DNS và TLS cho máy chủ mới | SwissOctet Insights https://swissoctet.com/vi/insights/dns-tls-cutover-runbook/ SwissOctet / Thông tin chuyên sâu / Web & onion Web & onion Ứng dụng · 4 phút đọc Sổ tay vận hành chuyển đổi tên miền, DNS và TLS cho máy chủ mới Chuẩn bị định tuyến tên máy chủ, chứng chỉ và khôi phục cùng nhau để việc di chuyển thay đổi máy chủ mà không phá vỡ danh tính trang web hoặc kết nối an toàn. Bởi SwissOctet Editorial Lưu hướng dẫn Sao chép liên kết TRÊN TRANG NÀY 01 Kiểm kê các tên và phụ thuộc 02 Chuẩn bị định tuyến tên máy chủ trên máy chủ mới 03 Chọn phương thức xác thực chứng chỉ 04 Lập kế hoạch cửa sổ bộ nhớ đệm trước khi thay đổi DNS 05 Xác minh DNS và TLS riêng biệt 06 Biến khôi phục thành quyết định dữ liệu 07 Quan sát trang web sau khi chuyển đổi Danh sách kiểm tra thực tế của bạn Nguồn & đọc thêm Quay lại thư viện CÂU TRẢ LỜI TRỰC TIẾP Chuẩn bị máy chủ và chứng chỉ cho tên máy chủ dự định, kiểm thử ứng dụng trước khi thay đổi DNS công khai, và giữ môi trường cũ sẵn sàng trong quá trình chuyển đổi. Xác minh các bản ghi có thẩm quyền, câu trả lời được lưu trong bộ nhớ đệm và TLS một cách độc lập. Chỉ một cập nhật DNS không chứng minh rằng ứng dụng và chứng chỉ đúng đang được phục vụ. 01 Kiểm kê các tên và phụ thuộc Liệt kê mọi tên máy chủ mà trang web sử dụng, bao gồm tên miền chính, bí danh, điểm cuối API và callback ứng dụng. Ghi lại ai kiểm soát việc đăng ký và DNS có thẩm quyền. Việc lưu trữ một ứng dụng không tự động đăng ký tên miền của nó hoặc trao cho người vận hành máy chủ quyền kiểm soát các bản ghi của nó. Giữ quyền truy cập vào môi trường hiện có cho đến khi môi trường mới được xác minh. Cũng xác định các bản ghi email và xác minh của bên thứ ba mà việc di chuyển cần bảo toàn. Việc di chuyển trang web không nên thay thế toàn bộ vùng DNS một cách tùy tiện. Lập kế hoạch thay đổi ở cấp bản ghi với các địa chỉ dự định và giá trị khôi phục. Lưu trữ thông tin xác thực một cách riêng tư; sổ tay vận hành cần người phụ trách và quy trình chứ không phải mật khẩu thực tế hoặc mã thông báo API. 02 Chuẩn bị định tuyến tên máy chủ trên máy chủ mới Một máy nhận kết nối phải phục vụ ứng dụng dự định cho tên máy chủ của nó. Cấu hình máy chủ web hoặc bảng điều khiển lưu trữ cho phù hợp, với thư mục gốc công khai tách biệt khỏi cấu hình riêng tư và thông tin xác thực. Kiểm thử tất cả tên và chuyển hướng bắt buộc, không chỉ một trang chào mừng chung truy cập qua địa chỉ máy chủ. Sử dụng phương pháp kiểm thử có kiểm soát gửi tên máy chủ dự định đến điểm cuối mới trước khi thay đổi công khai. Kiểm tra đăng nhập, tải lên và các liên kết do ứng dụng tạo khi có thể. Vô hiệu hóa các tác vụ có thể nhân bản hành động sản xuất trong quá trình kiểm thử. Bài kiểm thử phải chứng minh hành vi ứng dụng mà không gửi thư thật, nhận thanh toán hoặc sửa đổi cơ sở dữ liệu trực tiếp cũ một cách vô ý. 03 Chọn phương thức xác thực chứng chỉ Việc cấp chứng chỉ yêu cầu bằng chứng kiểm soát đối với các tên được yêu cầu. Let's Encrypt ghi lại HTTP-01 và DNS-01 trong các phương thức xác thực của mình. Xác thực HTTP phụ thuộc vào việc phục vụ thử thách bắt buộc một cách chính xác; xác thực DNS sử dụng bản ghi DNS được chỉ định và có thể hỗ trợ cấp chứng chỉ wildcard. Chọn phương thức phù hợp với triển khai thực tế và có thể được duy trì an toàn. Giữ phạm vi thông tin xác thực xác thực hẹp nhất có thể. Tự động hóa DNS đặc biệt nhạy cảm vì thông tin xác thực DNS rộng có thể ảnh hưởng đến nhiều trang web. Lập kế hoạch gia hạn chứng chỉ và cách các tệp được gia hạn đến quy trình phục vụ. Việc cấp lần đầu thành công là hữu ích, nhưng một trang web cũng cần quy trình gia hạn hoạt động và giám sát chứng chỉ mà nó thực sự trình bày. 04 Lập kế hoạch cửa sổ bộ nhớ đệm trước khi thay đổi DNS Các bản ghi DNS mang thời gian sống được các trình phân giải sử dụng khi lưu câu trả lời vào bộ nhớ đệm. Việc thay đổi bản ghi không thay thế tức thì mọi kết quả đã lưu trong bộ nhớ đệm. Nếu quá trình chuyển đổi được hưởng lợi từ TTL ngắn hơn, hãy lập kế hoạch điều chỉnh đủ sớm để các câu trả lời đã lưu trước đó có thể hết hạn. Giữ cả môi trường cũ và mới có khả năng xử lý quá trình chuyển đổi bạn đã thiết kế. Trình tự minh họa này tách biệt việc chuẩn bị khỏi việc chuyển đổi công khai. Thời gian của nó phải được điều chỉnh cho phù hợp với tên miền, hành vi trình phân giải và ứng dụng. Đây không phải là lịch lan truyền phổ quát. Một cuộc di chuyển liên quan đến ghi trực tiếp cũng cần chuyển đổi dữ liệu dành riêng cho ứng dụng, vì nếu không hai máy chủ web đang hoạt động có thể chấp nhận thay đổi vào các tập dữ liệu khác nhau. Giai đoạn Hành động Điều kiện trước khi tiếp tục Chuẩn bị Kiểm kê bản ghi và cấu hình điểm cuối mới Ứng dụng hoạt động cho các tên dự định Chứng chỉ Cấp và cài đặt chứng chỉ Chuỗi và tên máy chủ đúng xác thực Chuyển đổi Chỉ cập nhật các bản ghi DNS đã lên kế hoạch Chuyển đổi dữ liệu và khôi phục đã được xác định Quan sát Kiểm tra kết quả có thẩm quyền và từ máy khách Hành trình người dùng thành công qua điểm cuối mới Hoàn tất Ngừng dịch vụ cũ sau khi xác minh Đã xem xét lưu lượng còn lại và nhu cầu phục hồi 05 Xác minh DNS và TLS riêng biệt Kiểm tra bản ghi có thẩm quyền trước, sau đó so sánh câu trả lời từ các máy khách hoặc trình phân giải tham gia vào quá trình chuyển đổi. Một giá trị có thẩm quyền đúng và một giá trị đã lưu trong bộ nhớ đệm cũ hơn có thể cùng tồn tại. Kiểm tra điểm cuối mà trình duyệt truy cập thay vì giả định mọi kết nối đã dùng địa chỉ mới. Giữ các quan sát có dấu thời gian để quá trình chuyển đổi có thể hiểu được. Đối với TLS, hãy xác thực tên máy chủ dự định, hiệu lực chứng chỉ và chuỗi thông qua một kết nối máy khách thực tế. Kiểm tra mọi bí danh và đường dẫn chuyển hướng bắt buộc. Tài liệu TLS của Mozilla giải thích về xác thực máy chủ và các vấn đề nội dung hỗn hợp: trang và các tài nguyên con của nó nên được phân phối an toàn. Một chứng chỉ trên một tên máy chủ không tự động bao phủ một điểm cuối ứng dụng khác. 06 Biến khôi phục thành quyết định dữ liệu Khôi phục DNS có thể chuyển hướng lưu lượng, nhưng nó không đảo ngược các ghi được thực hiện trên ứng dụng mới. Xác định cách bạn sẽ xử lý dữ liệu đó trước khi chuyển đổi. Đối với một ấn phẩm tĩnh, khôi phục có thể đơn giản; đối với một dịch vụ chấp nhận tải lên hoặc đơn hàng, trạng thái ứng dụng cần một người phụ trách rõ ràng và quy trình đối soát. Hãy tưởng tượng việc di chuyển một trang xuất bản nhỏ có bình luận. Bạn có thể chuẩn bị một khoảng thời gian bảo trì hoặc một quá trình chuyển đổi chỉ đọc có kiểm soát trong khi dữ liệu cuối cùng được sao chép. Kiểm thử quy trình mở lại và giữ triển khai cũ sẵn sàng. Chọn cách tiếp cận phù hợp với ứng dụng thay vì dùng thay đổi DNS như một sự thay thế cho việc lập kế hoạch nhất quán. 07 Quan sát trang web sau khi chuyển đổi Xác minh hành trình người dùng thực, tỷ lệ lỗi, hiển thị chứng chỉ và tác vụ nền sau khi điểm cuối mới nhận lưu lượng. Xác nhận rằng sao lưu hiện bao quát ứng dụng và dữ liệu dự định. Xem xét quyền truy cập máy chủ cũ trước khi ngừng hoạt động và xóa thông tin xác thực lỗi thời khi các nhu cầu phục hồi và khôi phục đã được giải quyết. Ghi lại cấu hình DNS và chứng chỉ cuối cùng. Khi chọn dịch vụ lưu trữ web hoặc điện toán SwissOctet, hãy xác nhận trách nhiệm thực tế về tên miền, chứng chỉ và quản trị cho cấu hình. Danh mục cung cấp một đích lưu trữ và tài nguyên; nó không chứng minh rằng tên miền của bạn đã được kết nối hoặc gia hạn chứng chỉ đã được cấu hình. Hãy giữ các bước đó cụ thể và có thể xác minh trong kế hoạch triển khai. BIẾN NÓ THÀNH HÀNH ĐỘNG Danh sách kiểm tra thực tế của bạn. ✓ Kiểm kê mọi tên máy chủ và bảo toàn các bản ghi DNS không liên quan. ✓ Kiểm thử định tuyến tên máy chủ trước khi chuyển đổi công khai. ✓ Chọn và tự động hóa một thử thách chứng chỉ phù hợp. ✓ Lập kế hoạch thay đổi TTL và chuyển đổi dữ liệu. ✓ Xác minh DNS và TLS qua các kiểm tra riêng biệt. ✓ Giữ quyền truy cập khôi phục và giải quyết các ghi mới trước khi hoàn nguyên. Tải danh sách kiểm tra CÂU HỎI THƯỜNG GẶP Những chi tiết quan trọng. Thay đổi bản ghi A có kích hoạt HTTPS không? + Không. DNS chọn một điểm cuối; điểm cuối đó vẫn cần định tuyến tên máy chủ đúng và một chứng chỉ hợp lệ đã được cài đặt. Tôi có thể chỉ hoàn nguyên bản ghi DNS nếu có sự cố không? + Lưu lượng có thể được chuyển hướng, nhưng các ghi của ứng dụng cần được xử lý riêng. Xác định kế hoạch khôi phục hoặc đối soát dữ liệu trước khi di chuyển. Chứng chỉ wildcard có luôn cần thiết không? + Không. Chọn tên chứng chỉ và xác thực theo các tên máy chủ thực tế. Wildcard có yêu cầu bao phủ và xác thực cụ thể; nó không phải là một lối tắt di chuyển phổ quát. TÀI LIỆU THAM KHẢO CHÍNH Đến nguồn. Các tài liệu tham khảo này hỗ trợ các khái niệm kỹ thuật trong hướng dẫn này. Hãy theo dõi tài liệu hiện hành trước khi thay đổi hệ thống sản xuất. Let's Encrypt: Các loại thử thách letsencrypt.org IETF RFC 1034: Các khái niệm và cơ sở DNS datatracker.ietf.org Mozilla MDN: Transport Layer Security developer.mozilla.org Hướng dẫn biên tập bởi SwissOctet. Các ví dụ chỉ mang tính minh họa. Thông số dịch vụ, tùy chọn có sẵn và điều kiện hợp đồng phải được xác minh riêng. KẾT NỐI KIẾN THỨC Hạ tầng liên quan. Canvas Web Thụy Sĩ Vector VPS Thụy Sĩ Pulse NVMe Thụy Sĩ GIỮ MẠCH Ghi chú thực địa tiếp theo của bạn. Khám phá mọi hướng dẫn GHI CHÚ THỰC ĐỊA / 01 + Đám mây & VPS Nền tảng Cách chọn VPS mà không phải đoán Biến ý tưởng ứng dụng thành ngân sách tài nguyên hữu ích, rồi so sánh CPU, bộ nhớ, lưu trữ và truyền tải cùng nhau. 4 phút đọc Đọc hướng dẫn GHI CHÚ THỰC ĐỊA / 02 + Web & onion Nền tảng Lưu trữ web hay một VPS: chọn công việc bạn muốn tự chịu trách nhiệm So sánh yêu cầu ứng dụng, quyền kiểm soát và trách nhiệm bảo trì thay vì coi một VPS là bước tiếp theo tự động cho mọi website. 6 phút đọc Đọc hướng dẫn GHI CHÚ THỰC ĐỊA / 03 + Web & onion Ứng dụng Xuất bản dịch vụ onion mà không bỏ qua ứng dụng Lập kế hoạch xuất bản onion hợp pháp với việc phơi bày backend có kiểm soát, xem xét nội dung cẩn thận, phục hồi khóa dịch vụ và mô hình truy cập đối tượng rõ ràng. 4 phút đọc Đọc hướng dẫn