# 新伺服器的網域、DNS 與 TLS 切換操作手冊 | SwissOctet Insights https://swissoctet.com/zh-tw/insights/dns-tls-cutover-runbook/ SwissOctet / 深入解析 / Web 與 onion Web 與 onion 實務應用 · 4 分鐘閱讀 新伺服器的網域、DNS 與 TLS 切換操作手冊 一併準備主機名稱路由、憑證與回滾，讓遷移能更換伺服器，而不破壞網站的識別或安全連線。 由 SwissOctet 編輯部撰寫 儲存指南 複製連結 本頁內容 01 盤點名稱與相依項目 02 在新伺服器上準備主機名稱路由 03 選擇憑證驗證方法 04 在變更 DNS 前規劃快取時段 05 分別驗證 DNS 與 TLS 06 讓回滾也成為資料決策 07 切換後觀察網站 您的實用檢查清單 來源與延伸閱讀 返回資料庫 直接答案 為預定的主機名稱準備伺服器與憑證，在變更公開 DNS 前測試應用程式，並在過渡期間保持舊環境可用。分別驗證權威紀錄、快取回應與 TLS。僅更新 DNS 並不能確立正在提供正確的應用程式與憑證。 01 盤點名稱與相依項目 列出網站使用的每一個主機名稱，包括主網域、別名、API 端點與應用程式回呼。記錄誰控制註冊與權威 DNS。代管應用程式不會自動註冊其網域，也不會讓伺服器營運方控制其紀錄。在新環境通過驗證前，請保留對現有環境的存取權限。 同時找出搬遷應保留的電子郵件與第三方驗證紀錄。網站遷移不應隨意取代整個 DNS 區域。制定紀錄層級的變更計畫，包含預定地址與回滾值。請私下儲存憑證；操作手冊需要的是負責人與程序，而不是實際密碼或 API 權杖。 02 在新伺服器上準備主機名稱路由 接收連線的機器必須為其主機名稱提供預定的應用程式。請據此設定網頁伺服器或主機控制面板，並將公開文件根目錄與私人設定及憑證分開。測試所有必要的名稱與重新導向，而不只是透過伺服器位址存取的通用歡迎頁面。 使用受控的測試方法，在公開變更前將預定的主機名稱導向新端點。視情況檢查登入、上傳與應用程式產生的連結。在測試期間停用可能重複生產動作的工作。測試應證明應用程式行為，而不會寄送真實郵件、收取付款或無意間修改舊的線上資料庫。 03 選擇憑證驗證方法 憑證簽發需要對所要求名稱的控制證明。Let's Encrypt 在其驗證方法中記載了 HTTP-01 與 DNS-01。HTTP 驗證取決於是否正確提供所需的挑戰；DNS 驗證使用指定的 DNS 紀錄，並可支援萬用字元簽發。請選擇適合實際部署且能安全維護的方法。 盡可能將驗證憑證的範圍縮小。DNS 自動化尤其敏感，因為範圍廣泛的 DNS 憑證可能影響多個網站。規劃憑證續期，以及續期後的檔案如何送達提供服務的流程。首次簽發成功固然有用，但網站也需要可運作的續期流程，以及對其實際呈現憑證的監控。 04 在變更 DNS 前規劃快取時段 DNS 紀錄帶有存留時間，供解析器快取回應時使用。變更紀錄不會瞬間取代每一個已快取的回應。若過渡期受益於較短的 TTL，請及早規劃調整，讓先前已快取的回應得以到期。保持新舊環境都能應付你所設計的過渡。 此示意序列將準備工作與公開切換分開。其時程必須依網域、解析器行為與應用程式調整。這不是通用的傳播時程。涉及實際寫入的遷移也需要應用程式專屬的資料切換，否則兩台運作中的網頁伺服器可能各自接受變更到不同的資料集。 階段 動作 繼續前的條件 準備 盤點紀錄並設定新端點 應用程式能為預定名稱運作 憑證 簽發並安裝憑證 正確的鏈與主機名稱通過驗證 過渡 僅更新已規劃的 DNS 紀錄 已定義資料切換與回滾 觀察 檢查權威與用戶端結果 使用者歷程透過新端點成功完成 完成 驗證後汰除舊服務 已檢視殘餘流量與復原需求 05 分別驗證 DNS 與 TLS 先檢查權威紀錄，再比對過渡所涉用戶端或解析器的回應。正確的權威值與較舊的快取值可能並存。檢查瀏覽器實際連線到的端點，而不是假設每個連線都已使用新地址。請為觀察結果加上時間戳，讓過渡過程易於理解。 對於 TLS，請透過實際的用戶端連線驗證預定的主機名稱、憑證有效性與鏈。檢查每一個必要的別名與重新導向路徑。Mozilla 的 TLS 文件說明了伺服器驗證與混合內容的疑慮：頁面及其子資源應以安全方式傳遞。一個主機名稱上的憑證不會自動涵蓋另一個應用程式端點。 06 讓回滾也成為資料決策 DNS 回滾可以重新導向流量，但不會反轉在新應用程式上所做的寫入。請在切換前定義你將如何處理那些資料。對於靜態出版品，回滾可能很直接；對於接受上傳或訂單的服務，應用程式狀態需要明確的負責人與對帳程序。 想像遷移一個帶有留言的小型出版網站。你可以準備維護時段或受控的唯讀過渡，同時複製最終資料。測試重新開放程序並保持舊部署就緒。請選擇適合應用程式的方法，而不是用 DNS 變更來替代一致性規劃。 07 切換後觀察網站 在新端點接收流量後，驗證真實的使用者歷程、錯誤率、憑證呈現與背景工作。確認備份現在涵蓋預定的應用程式與資料。汰除前檢視舊伺服器的存取權限，並在復原與回滾需求解決後移除過時的憑證。記錄最終的 DNS 與憑證設定。 在選擇 SwissOctet 網頁主機或運算服務時，請確認該配置實際的網域、憑證與管理責任。型錄提供的是主機目的地與資源；它並不確立你的網域已連接，或憑證續期已設定完成。請在部署計畫中讓這些步驟具體且可驗證。 付諸行動 您的實用檢查清單。 ✓ 盤點每一個主機名稱並保留無關的 DNS 紀錄。 ✓ 在公開切換前測試主機名稱路由。 ✓ 選擇並自動化合適的憑證挑戰。 ✓ 規劃 TTL 變更與資料過渡。 ✓ 透過各自獨立的檢查驗證 DNS 與 TLS。 ✓ 保留回滾存取權限，並在還原前解決新寫入。 下載檢查清單 常見問題 重要細節。 變更 A 紀錄會啟用 HTTPS 嗎？ + 不會。DNS 選擇的是端點；該端點仍需要正確的主機名稱路由與已安裝的有效憑證。 如果出問題，我可以只還原 DNS 紀錄嗎？ + 流量可以被重新導向，但應用程式寫入需要另行處理。請在遷移前定義資料回滾或對帳計畫。 萬用字元憑證總是必要的嗎？ + 不是。請依實際的主機名稱選擇憑證名稱與驗證方式。萬用字元有其特定的涵蓋範圍與驗證需求；它不是通用的遷移捷徑。 主要參考資料 前往來源。 這些參考資料支持本指南中的技術概念。在變更生產系統之前，請遵循最新文件。 Let's Encrypt：挑戰類型 letsencrypt.org IETF RFC 1034：DNS 概念與設施 datatracker.ietf.org Mozilla MDN：傳輸層安全性 developer.mozilla.org 由 SwissOctet 提供的編輯指引。範例僅供說明。服務規格、可用選項與合約條件必須另行驗證。 連結知識 相關基礎架構。 Canvas Web 瑞士 Vector VPS 瑞士 Pulse NVMe 瑞士 保持脈絡 您的下一份實地筆記。 探索所有指南 實地筆記 / 01 + 雲端與 VPS 基礎 如何不靠猜測選擇 VPS 將應用程式想法轉化為實用的資源預算，然後一起比較 CPU、記憶體、儲存與傳輸。 4 分鐘閱讀 閱讀指南 實地筆記 / 02 + Web 與 onion 基礎 網頁代管或 VPS：選擇你想負責的工作 比較應用程式需求、控制權與維護責任，而不是把 VPS 當成每個網站的必然下一步。 6 分鐘閱讀 閱讀指南 實地筆記 / 03 + Web 與 onion 實務應用 發布洋蔥服務而不忽略應用程式 規劃合法的洋蔥發布，具備受控的後端暴露、審慎的內容審查、服務金鑰復原，以及明確的受眾存取模型。 4 分鐘閱讀 閱讀指南