DNS bei einem Umzug

Modul 6: Zeit, Cache und Domain-Umzug · Lesezeit: 10 Minuten

Lernziel: Nach dieser Lektion können Sie einen Umzug Ihrer Website, Ihrer E-Mail oder Ihrer DNS-Verwaltung so planen, dass Besucher nichts davon bemerken und Sie keine Mail verpassen.

Kernbegriffe: Arten von Umzug, Reihenfolge, TTL vorab senken, Einträge bereitstellen, Backup der Zone, Testen vor dem Wechsel (Hosts-Datei, Testadresse), Mail während des Wechsels, Registry-Kontrolle vorab, DNSSEC und der DS-Eintrag

Vier Arten von Umzug

"Ich ziehe mit meiner Domain um" kann vier verschiedene Dinge bedeuten. Es hilft enorm, zunächst zu bestimmen, welche Sie meinen, denn jede Art betrifft andere Einträge.

Oft geschehen mehrere Dinge gleichzeitig, zum Beispiel wenn Sie alles von einem Anbieter zum anderen verlagern. Dann gelten auch die Fallstricke aller vier Arten.

Die goldene Reihenfolge

Das wichtigste Prinzip: erst alles an der neuen Stelle bereitstellen, dann erst wechseln. Der Wechsel selbst ist eine kleine Handlung, ein paar Einträge oder die Nameserver. Alles, was vor dem Wechsel erledigt werden kann, erledigen Sie vor dem Wechsel.

Ein paar Tage vorher

1. Erstellen Sie ein Backup Ihrer aktuellen Zone. Exportieren Sie die Einträge, machen Sie einen Screenshot oder notieren Sie sie. Ohne Übersicht darüber, was vorhanden war, wissen Sie hinterher nicht, was fehlt. Viele Panels haben eine Schaltfläche für ein DNS-Backup.
2. Erstellen Sie eine Bestandsaufnahme. Gehen Sie jede Zeile durch und notieren Sie, wofür sie dient: Website, Mail, Verifizierung bei Google oder Microsoft, ein Newsletterdienst, eine Subdomain für einen Webshop. Gerade diese zusätzlichen Einträge (TXT zur Verifizierung, CNAME für DKIM eines Newsletterdienstes) werden bei Umzügen oft vergessen.
3. Stellen Sie die neue Umgebung bereit. Die Website befindet sich auf dem neuen Server, die Postfächer existieren beim neuen Mailanbieter.
4. Testen Sie vor dem Wechsel. Sie können eine Website auf einem neuen Server ansehen, ohne die DNS zu ändern: mit einer Zeile in Ihrer Hosts-Datei oder mit einer Testadresse, die der neue Anbieter angibt. Vergessen Sie nicht, diese Hosts-Zeile hinterher wieder zu entfernen.

Mindestens eine alte TTL vorher

5. Senken Sie die TTL der Einträge, die Sie ändern werden, auf 300 Sekunden (Lektion 6.1). Stand die TTL auf 3600, dann tun Sie das mindestens eine Stunde vorher; sicherheitshalber einen Tag. Stand sie auf 86400, dann mindestens einen Tag.

Beachten Sie: Die TTL der NS-Einträge bei der Registry (Lektion 6.2) können Sie nicht selbst senken. Bei einem Nameserverwechsel haben Sie diese Wartezeit immer.

Der Wechsel

6. Ändern Sie die Einträge (bei einem Website- oder Mailumzug), oder ändern Sie die Nameserver bei Ihrem Registrar (bei einem Umzug der DNS-Verwaltung).
7. Kontrollieren Sie sofort beim autoritativen Nameserver, ob die neuen Werte vorhanden sind (dig A example.com @ns1.newhost.example).

Danach

8. Prüfen Sie alles: Website über http und https, das Zertifikat, eine Testmail hin und zurück, und eine Online-Kontrolle von MX, SPF, DKIM und DMARC.
9. Setzen Sie die TTL zurück auf 3600, wenn alles funktioniert.
10. Kündigen Sie den alten Dienst erst, wenn einige Tage lang keine Mail oder kein Besuch mehr an der alten Stelle eingeht. Kündigen Sie früher, kann Ihre Website oder Mail ausfallen, oder im schlimmsten Fall Ihre Domain frei werden.

Ein Umzug der DNS-Verwaltung

Ziehen Sie mit Ihrer DNS zu einem anderen Anbieter um (andere Nameserver), gibt es eine zusätzliche Regel: die Zone muss vollständig beim neuen Anbieter vorhanden sein, bevor Sie die Nameserver ändern. Ab dem Moment des Wechsels bestimmt der neue Anbieter alle Antworten. Was dort fehlt, existiert nicht mehr.

Nehmen Sie diese Liste als Minimum mit:

@          A      192.0.2.10
@          AAAA   2001:db8::10
www        A      192.0.2.10        (oder ein CNAME)
mail       A      192.0.2.25        (wenn Ihr MX auf mail.example.com zeigt)
@          MX     10 mail.example.com.
@          TXT    "v=spf1 ... ~all"
x._domainkey  TXT "v=DKIM1; k=rsa; p=..."   (der Selector unterscheidet sich je nach Anbieter)
_dmarc     TXT    "v=DMARC1; p=quarantine"

Plus alle Subdomains, Verifizierungseinträge und Einträge externer Dienste.

Manche Registries kontrollieren die neuen Nameserver, bevor sie die Änderung akzeptieren. DENIC (die Registry von .de) prüft zum Beispiel, ob die neuen Nameserver bereits für die Domain antworten. Steht die Zone dort noch nicht, wird die Änderung abgelehnt. Auch deshalb: erst die Zone bereitstellen.

Beispiel aus der Praxis

Eine Domain wurde mit einem Website-Baukasten verknüpft, indem die Nameserver auf diese Plattform gesetzt wurden. Die Plattform legte selbst einen MX-Eintrag auf mail.example.com und einen SPF-Eintrag an, aber keinen A-Eintrag für mail.example.com. Das Ergebnis: Versenden funktionierte, Empfangen nicht. Jeder Mailserver, der Mail zustellen wollte, fand keine Adresse zu dem Namen aus dem MX. Ein einziger A-Eintrag bei der Plattform löste es. Lektion: Wenn Sie die Nameserver umziehen, muss auch jeder Eintrag, auf den ein anderer Eintrag verweist, mit umziehen.

E-Mail während des Wechsels

Während der Übergangsphase kommt ein Teil der Mail noch an der alten Stelle an: Absender mit einer alten Antwort im Cache liefern dort ab. Das ist normal und kein Problem, solange Sie beide Postfächer lesen.

• Richten Sie das neue Postfach bereits in Ihrem Mailprogramm ein, mit dem Servernamen, den der neue Anbieter angibt (nicht mail.example.com, denn dieser Name zeigt während des Wechsels auf wechselnde Stellen).
• Lassen Sie das alte Postfach ebenfalls in Ihrem Mailprogramm stehen, bis einige Tage lang nichts mehr eingeht.
• Kopieren Sie alte Mail mit einem Umzugstool des neuen Anbieters oder mit einem IMAP-Kopierprogramm.
• Vergessen Sie bei einem Mailumzug das SPF-Record nicht: Der neue Anbieter muss hinein, und solange der alte noch versendet (zum Beispiel das Kontaktformular Ihrer Website), muss dieser ebenfalls darin bleiben.

DNSSEC bei einem Umzug

Verwendet Ihre Domain DNSSEC (Lektion 8.1), steht bei der Registry ein DS-Eintrag: ein Fingerabdruck des Schlüssels, mit dem Ihr aktueller DNS-Anbieter die Zone signiert. Ziehen Sie mit Ihrer DNS-Verwaltung um, signiert der neue Anbieter mit einem anderen Schlüssel. Bleibt der alte DS bei der Registry stehen, passt der Fingerabdruck nicht mehr. Validierende Resolver (und davon gibt es viele) geben dann SERVFAIL zurück: Ihre gesamte Domain ist für sie unerreichbar, Website und Mail.

Der sichere Ansatz:

1. Lassen Sie den DS bei der Registry entfernen (DNSSEC aus) und warten Sie, bis die TTL des DS abgelaufen ist.
2. Wechseln Sie die Nameserver.
3. Aktivieren Sie DNSSEC beim neuen Anbieter und lassen Sie den neuen DS bei der Registry hinterlegen.

Es gibt auch eine Methode, bei der Sie ohne Unterbrechung von DNSSEC umziehen (die Schlüssel beider Anbieter zeitweise nebeneinander), die erfordert jedoch die Mitwirkung beider Anbieter und wird bei weitem nicht überall unterstützt. Geht bei einem Umzug dennoch etwas schief und ist Ihre Domain plötzlich unerreichbar, obwohl die Einträge korrekt erscheinen, prüfen Sie zuerst DNSSEC.

In der Praxis: so sieht es in einem Panel aus

Im Beispielpanel Mein WebOké erstellen Sie ein Backup der gesamten Zone auf dem Tab DNS mit einer Schaltfläche und stellen es mit einem Klick wieder her, falls etwas schiefgeht. Einen Umzug der Domain selbst starten Sie dort im Umzugscenter, und die Karte Domain-/E-Mail-Gesundheit zeigt nach dem Wechsel, ob Nameserver, A-Eintrag, Zertifikat, MX, SPF, DMARC und DNSSEC stimmen. Andere Anbieter bieten oft einen Export der Zone (manchmal als Zonendatei, die Sie beim neuen Anbieter importieren können) und eine vergleichbare Kontrolle; hat Ihr Panel das nicht, machen Sie einen Screenshot der Eintragsliste.

Zusammenfassung

• Bestimmen Sie zuerst, was umzieht: Website, Mail, DNS-Verwaltung oder Registrierung.
• Backup, Bestandsaufnahme, neue Umgebung bereitstellen und testen geschehen vor dem Wechsel.
• Senken Sie die TTL mindestens eine alte TTL vorher und setzen Sie sie danach zurück.
• Bei einem Umzug der DNS-Verwaltung muss die Zone vollständig beim neuen Anbieter vorhanden sein, bevor der Nameserverwechsel erfolgt; vergessen Sie keine Einträge wie den A-Eintrag des Mailservers.
• Mit DNSSEC: erst den alten DS entfernen, dann wechseln, dann den neuen DS hinterlegen.
• Lesen Sie während des Wechsels beide Postfächer und kündigen Sie den alten Dienst erst, wenn alles funktioniert.

Quiz

Aufgabe

Aufgabe Z6.3: Umzugsinventar. Erstellen Sie ein Umzugsinventar Ihrer eigenen Domain (oder, falls Sie keine Domain haben, von sidn.nl, der Website von SIDN, der Registry von .nl in den Niederlanden). Finden Sie heraus und tragen Sie ein: die Nameserver, die A- und AAAA-Einträge von @ und www, die MX-Einträge, das SPF-Record, das DMARC-Record und ob ein DS-Eintrag vorhanden ist. Das Programm vergleicht jeden Wert mit dem, was die DNS aktuell antwortet.

Aufgabe O6.3: Selbst einstellen in Ihrer Übungszone. In Ihrer Übungszone <code>.dnspractice.eu befindet sich eine kleine "bestehende" Website: www.<code>.dnspractice.eu zeigt auf 192.0.2.10 (A) und 2001:db8::10 (AAAA), mit TTL 300. Die Mail der Übungszone liegt auf mail.<code>.dnspractice.eu (192.0.2.25) mit einem MX-Eintrag (Priorität 10). Spielen Sie einen Websiteumzug nach:

1. Senken Sie die TTL der Einträge von www.<code>.dnspractice.eu auf 60.
2. Lassen Sie www.<code>.dnspractice.eu auf den neuen Server 198.51.100.10 zeigen und entfernen Sie das AAAA-Record: der neue Server hat kein IPv6.
3. Setzen Sie die TTL von www.<code>.dnspractice.eu zurück auf 300.
4. Lassen Sie die Mail-Einträge unverändert.

Die Übungszone verwendet kurze TTLs (zwischen 30 und 300 Sekunden), sodass Sie nicht warten müssen; bei Ihrer echten Domain verwenden Sie zum Beispiel 3600 als Standard und 300 während des Umzugs.

Weiterführende Lektüre

Die Schritte in diesen Artikeln beziehen sich auf die Panels von WebOké; in anderen Panels funktioniert es ähnlich.

• Domain, Website und E-Mail gemeinsam umziehen, ohne Unterbrechung: der Schritt-für-Schritt-Plan
• Eigene oder externe Nameserver (wie Cloudflare) für Ihre Domain verwenden
• Website oder E-Mail funktioniert nach einem Umzug oder einer DNS-Änderung nicht: Überprüfen Sie Ihre Domain
• Ein Backup Ihrer DNS erstellen und wiederherstellen
• E-Mails empfangen während eines Domain-Transfers
• Ihre Website bei WebOké ansehen, bevor Sie den Domainnamen umziehen
• DirectAdmin Anleitung 18.7: Meine Domain funktioniert nach einem Transfer oder einer Änderung noch nicht
• DirectAdmin Anleitung 18.8: Meine Website testen, bevor die Domain umgezogen ist
• WebOké Anleitung 5.7: DNS zurücksetzen und ein DNS-Backup erstellen
• WebOké Anleitung 5.8: DNSSEC und DANE