# 面向新服务器的域名、DNS 和 TLS 切换运行手册 | SwissOctet Insights https://swissoctet.com/zh/insights/dns-tls-cutover-runbook/ SwissOctet / 洞察 / Web 与 onion Web 与 onion 应用 · 4 分钟阅读 面向新服务器的域名、DNS 和 TLS 切换运行手册 将主机名路由、证书和回滚一起准备，使迁移在更换服务器的同时不破坏站点的身份或安全连接。 作者 SwissOctet 编辑部 保存指南 复制链接 本页内容 01 清点名称和依赖关系 02 在新服务器上准备主机名路由 03 选择证书验证方法 04 在更改 DNS 之前规划缓存窗口 05 分别验证 DNS 和 TLS 06 让回滚也成为一项数据决策 07 切换后观察站点 您的实用清单 来源与延伸阅读 返回资料库 直接答案 为预期的主机名准备服务器和证书，在更改公共 DNS 之前测试应用程序，并在过渡期间保持旧环境可用。独立验证权威记录、缓存应答和 TLS。仅更新 DNS 并不能证明正在提供正确的应用程序和证书。 01 清点名称和依赖关系 列出站点使用的每个主机名，包括主域名、别名、API 端点和应用程序回调。记录谁控制注册和权威 DNS。托管应用程序并不会自动注册其域名，也不会让服务器操作员控制其记录。在新环境得到验证之前，保持对现有环境的访问。 还要识别迁移应保留的电子邮件和第三方验证记录。网站迁移不应随意替换整个 DNS 区域。制定记录级更改计划，包含预期地址和回滚值。私下存储凭据；运行手册需要的是负责人和流程，而不是实际密码或 API 令牌。 02 在新服务器上准备主机名路由 接收连接的机器必须为其主机名提供预期的应用程序。相应地配置 Web 服务器或托管面板，将公共文档根目录与私有配置和凭据分开。测试所有必需的名称和重定向，而不仅仅是通过服务器地址访问的通用欢迎页面。 使用受控的测试方法，在公共更改之前将预期主机名发送到新端点。在适用的情况下检查登录、上传和应用程序生成的链接。在测试期间禁用可能重复生产操作的作业。测试应证明应用程序行为，而不发送真实邮件、收取付款或无意中修改旧的实时数据库。 03 选择证书验证方法 证书签发需要证明对所请求名称的控制权。Let's Encrypt 在其验证方法中记录了 HTTP-01 和 DNS-01。HTTP 验证取决于是否正确提供所需的质询；DNS 验证使用指定的 DNS 记录，并可支持通配符签发。选择适合实际部署且能安全维护的方法。 尽可能缩小验证凭据的范围。DNS 自动化尤其敏感，因为宽泛的 DNS 凭据可能影响多个网站。规划证书续期以及续期后的文件如何到达服务进程。首次签发成功很有用，但站点还需要可用的续期流程，并对其实际提供的证书进行监控。 04 在更改 DNS 之前规划缓存窗口 DNS 记录带有生存时间，解析器在缓存应答时会使用该值。记录更改不会立即替换所有缓存结果。如果过渡受益于更短的 TTL，请尽早规划调整，以便之前缓存的应答能够过期。让新旧环境都能处理你所设计的过渡。 这个示例性顺序将准备工作与公共切换分开。其时间安排必须根据域名、解析器行为和应用程序进行调整。它不是通用的传播时间表。涉及实时写入的迁移还需要针对应用程序的数据切换，否则两个正常运行的 Web 服务器可能会将更改接受到不同的数据集中。 阶段 操作 继续之前需满足的条件 准备 清点记录并配置新端点 应用程序对预期名称正常工作 证书 签发并安装证书 正确的链和主机名验证通过 过渡 仅更新计划中的 DNS 记录 已定义数据切换和回滚 观察 检查权威结果和客户端结果 用户旅程通过新端点成功完成 完成 验证后停用旧服务 已审查残余流量和恢复需求 05 分别验证 DNS 和 TLS 先检查权威记录，然后比较参与过渡的客户端或解析器给出的应答。正确的权威值和较旧的缓存值可能同时存在。检查浏览器实际到达的端点，而不是假设每个连接都已使用新地址。为观察结果加上时间戳，以便过渡过程可被理解。 对于 TLS，通过实际客户端连接验证预期主机名、证书有效期和链。检查每个必需的别名和重定向路径。Mozilla 的 TLS 文档解释了服务器身份验证和混合内容问题：页面及其子资源应安全地交付。一个主机名上的证书不会自动覆盖另一个应用程序端点。 06 让回滚也成为一项数据决策 DNS 回滚可以重定向流量，但不会撤销在新应用程序上进行的写入。在切换之前定义你将如何处理这些数据。对于静态发布，回滚可能很简单；对于接受上传或订单的服务，应用程序状态需要明确的负责人和协调流程。 设想迁移一个带评论的小型发布站点。你可以准备一个维护时段或受控的只读过渡，同时复制最终数据。测试重新开放流程并保持旧部署就绪。选择适合应用程序的方法，而不是用 DNS 更改来替代一致性规划。 07 切换后观察站点 在新端点接收流量后，验证真实用户旅程、错误率、证书呈现和后台任务。确认备份现在覆盖预期的应用程序和数据。在停用前审查旧服务器访问权限，并在恢复和回滚需求解决后移除过时凭据。记录最终的 DNS 和证书配置。 在选择 SwissOctet 网站托管或计算服务时，确认该配置实际的域名、证书和管理责任。目录提供托管目标和资源；它并不证明你的域名已经连接，或证书续期已经配置。在部署计划中让这些步骤保持具体且可验证。 将其转化为行动 您的实用清单。 ✓ 清点每个主机名并保留无关的 DNS 记录。 ✓ 在公共切换之前测试主机名路由。 ✓ 选择并自动化合适的证书质询。 ✓ 规划 TTL 更改和数据过渡。 ✓ 通过独立检查验证 DNS 和 TLS。 ✓ 保留回滚访问权限，并在回退前解决新写入。 下载清单 常见问题 重要细节。 更改 A 记录会激活 HTTPS 吗？ + 不会。DNS 选择一个端点；该端点仍然需要正确的主机名路由和有效、已安装的证书。 如果出现问题，我可以只还原 DNS 记录吗？ + 流量可以被重定向，但应用程序写入需要单独处理。在迁移之前定义数据回滚或协调计划。 通配符证书总是必需的吗？ + 不是。根据实际主机名选择证书名称和验证方式。通配符有特定的覆盖范围和验证要求；它不是通用的迁移捷径。 主要参考资料 前往来源。 这些参考资料支持本指南中的技术概念。在更改生产系统之前，请遵循当前文档。 Let's Encrypt：质询类型 letsencrypt.org IETF RFC 1034：DNS 概念和设施 datatracker.ietf.org Mozilla MDN：传输层安全 developer.mozilla.org 由 SwissOctet 提供编辑指导。示例仅作说明。服务规格、可用选项和合同条件必须单独核实。 连接知识 相关基础设施。 Canvas Web 瑞士 Vector VPS 瑞士 Pulse NVMe 瑞士 保持联系 您的下一份现场笔记。 探索所有指南 现场笔记 / 01 + 云与 VPS 基础 如何不靠猜测选择 VPS 将应用想法转化为有用的资源预算，然后综合比较 CPU、内存、存储和传输。 4 分钟阅读 阅读指南 现场笔记 / 02 + Web 与 onion 基础 Web 托管或 VPS：选择你想负责的工作 比较应用需求、控制权和管理责任，而不是将 VPS 视为每个网站的自动下一步。 6 分钟阅读 阅读指南 现场笔记 / 03 + Web 与 onion 应用 发布 onion 服务而不忽视应用程序 规划合法的 onion 发布，包括受控的后端暴露、仔细的内容审查、服务密钥恢复和明确的受众访问模型。 4 分钟阅读 阅读指南