Einen DNS-Eintrag mit Rollback-Pfad ändern: TTL absenken, Umschaltung und Verifikation

Ziel

Einen Hostnamen auf eine neue Adresse oder einen neuen Anbieter umziehen, ohne eine Phase, in der einzelne Nutzende ein totes Ziel erreichen, und dabei innerhalb von Minuten statt Stunden zurückrollen können.

Voraussetzungen

Schreibzugriff auf die autoritative Zone, eine Möglichkeit, autoritative Server und öffentliche Resolver direkt abzufragen (dig @server name type), sowie das neue Ziel, das bereits läuft und unter einer Adresse oder einem temporären Namen getestet ist.

Schritte

1. Die aktuelle TTL ablesen. RFC 1035 definiert sie als das Zeitintervall, während dessen der Eintrag zwischengespeichert werden darf, bevor die Quelle erneut befragt wird; jeder Cache, der den Eintrag hält, behält ihn nach der Änderung bis zu dieser Dauer.
2. Die TTL auf wenige Minuten absenken (zum Beispiel 300 Sekunden) und mindestens eine volle alte TTL-Dauer abwarten, damit jeder Cache, der die lange TTL gehalten hat, sie ablaufen lässt und mit der kurzen neu abruft. Wird diese Wartezeit übersprungen, wirkt eine Änderung oft, als würde sie einen ganzen Tag lang «propagieren».
3. Den Rollback vorbereiten: den genauen alten Eintrag notieren und das alte Ziel während der gesamten Zeit weiterlaufen lassen.
4. Die Änderung vornehmen. Zuerst die autoritativen Server prüfen, dann öffentliche Resolver, dann einen Resolver im lokalen Netz.
5. Die Logs des neuen Ziels auf eintreffenden Verkehr beobachten und die Logs des alten Ziels darauf, wie der Verkehr über die kurze TTL hinweg abklingt. Das alte Ziel erst abschalten, wenn es länger als die TTL still war. RFC 8767 erlaubt es einem rekursiven Resolver, der die autoritativen Server nicht erreichen kann, weiterhin mit Daten zu antworten, deren TTL abgelaufen ist, und schlägt einen maximalen Stale-Timer zwischen 1 und 3 Tagen vor; das spielt nur eine Rolle, wenn die autoritativen Server nicht erreichbar sind – ein Argument dafür, DNS nicht während einer Störung beim Anbieter zu ändern.
6. Sobald das alte Ziel still ist, die TTL wieder auf ihren normalen Wert anheben. Ein Rollback ist dieselbe Änderung in umgekehrter Richtung und braucht eine kurze TTL, bis er wirkt – deshalb bleibt die TTL bis zur Bestätigung niedrig.
7. Beide Eintragswerte und die Zeitstempel im Änderungskalender festhalten.

Erwartetes Ergebnis

Der Verkehr verlagert sich innerhalb von Minuten nach der Änderung, keine nutzende Person erreicht ein totes Ziel, und das Zurückrollen ist eine einzelne Eintragsänderung mit einer bekannten Worst-Case-Verzögerung.

Grenzen und Prüfbasis

Manche Clients ignorieren TTLs: langlebige Verbindungen, Adress-Caches zur Laufzeit, Unternehmens-Proxys; diese brauchen einen Neustart oder ihren eigenen Ablauf. Negatives Caching eines noch nicht existierenden Namens hat eine eigene TTL: RFC 2308 setzt sie aus dem Minimum des MINIMUM-Felds des SOA-Eintrags und der eigenen TTL des SOA. Das Vorgehen folgt den zitierten RFCs; über die TTL-Arithmetik hinaus werden keine Angaben zu Propagationszeiten gemacht.