Einen DNS-Eintrag mit Rückwegabsicherung ändern: TTL absenken, Umschaltung und Prüfung

Ziel

Einen Hostnamen auf eine neue Adresse oder einen neuen Anbieter umziehen, ohne eine Phase, in der manche Nutzer ein totes Ziel erreichen, und dabei innerhalb von Minuten statt Stunden zurückrollen können.

Voraussetzungen

Schreibzugriff auf die autoritative Zone, eine Möglichkeit, autoritative Server und öffentliche Resolver direkt abzufragen (dig @server name type), sowie das neue Ziel, das bereits läuft und über seine Adresse oder unter einem temporären Namen getestet wurde.

Schritte

1. Die aktuelle TTL ablesen. RFC 1035 definiert sie als das Zeitintervall, während dessen der Eintrag gecacht werden darf, bevor die Quelle erneut befragt wird; jeder Cache, der den Eintrag hält, behält ihn nach der Änderung noch bis zu dieser Dauer.
2. Die TTL auf wenige Minuten absenken (zum Beispiel 300 Sekunden) und mindestens eine volle alte TTL-Dauer abwarten, damit jeder Cache, der die lange TTL gehalten hat, sie ablaufen lässt und mit der kurzen neu abruft. Wird diese Wartezeit übersprungen, wirkt eine Änderung häufig so, als würde sie sich einen Tag lang „verbreiten“.
3. Den Rückweg vorbereiten: den genauen alten Eintrag notieren und das alte Ziel während der gesamten Zeit weiterlaufen lassen.
4. Die Änderung vornehmen. Zuerst die autoritativen Server prüfen, dann öffentliche Resolver, dann einen Resolver im lokalen Netz.
5. In den Logs des neuen Ziels beobachten, wie der Datenverkehr eintrifft, und in den Logs des alten Ziels, wie er über die kurze TTL hinweg abklingt. Das alte Ziel erst abschalten, wenn dort länger als die TTL-Dauer Ruhe herrscht. RFC 8767 erlaubt es einem rekursiven Resolver, der die autoritativen Server nicht erreichen kann, weiterhin mit Daten zu antworten, deren TTL abgelaufen ist, und schlägt einen maximalen Stale-Timer zwischen 1 und 3 Tagen vor; das spielt nur eine Rolle, wenn die autoritativen Server nicht erreichbar sind – ein Argument dafür, DNS nicht während einer Störung beim Anbieter zu ändern.
6. Sobald am alten Ziel Ruhe herrscht, die TTL wieder auf ihren normalen Wert anheben. Der Rückweg ist dieselbe Änderung in umgekehrter Richtung und braucht eine kurze TTL-Dauer, bis sie wirkt – deshalb bleibt die TTL bis zur Bestätigung niedrig.
7. Beide Eintragswerte und die Zeitstempel im Änderungskalender festhalten.

Erwartetes Ergebnis

Der Datenverkehr verlagert sich innerhalb von Minuten nach der Änderung, kein Nutzer trifft auf ein totes Ziel, und der Rückweg ist eine einzelne Eintragsänderung mit bekannter Verzögerung im ungünstigsten Fall.

Grenzen und Prüfbasis

Manche Clients ignorieren TTLs: langlebige Verbindungen, Adress-Caches zur Laufzeit, Unternehmens-Proxys; diese brauchen einen Neustart oder ihren eigenen Ablauf. Das negative Caching eines noch nicht existierenden Namens hat eine eigene TTL: RFC 2308 setzt sie aus dem Minimum des MINIMUM-Felds des SOA-Eintrags und der eigenen TTL des SOA. Das Vorgehen folgt den zitierten RFCs; über die TTL-Arithmetik hinaus werden keine Aussagen zu Verbreitungszeiten behauptet.