如何迁移DNSSEC至新服务器

迁移 DNSSEC 到新服务器（例如更换 DNS 服务商、迁移 authoritative DNS、或换机房）时，核心原则是：不能中断 DNSSEC 校验链，否则域名会解析失败。下面按常见场景给你一套可操作步骤。

一、先明确你要迁移的是什么

DNSSEC 本身不“存在”在服务器上，而是：

• Zone 签名（RRSIG、DNSKEY）
• DS 记录（在父域/注册局）

所以迁移通常分两种：

场景 A：换 DNS 服务商（权威 DNS）

• 新服务商重新签名 zone
• 需要更新父域的 DS 记录

场景 B：同服务商换服务器（IP/机器变化）

• Zone 和签名不变
• 只需保证新服务器配置一致

二、安全迁移的标准流程（推荐：双签名 / 滚动切换）

✅ 方法 1：双签名过渡（最安全）

适合换 DNS 服务商

1. 在新服务器上准备 zone

• 导出原 zone 文件
• 新服务器启用 DNSSEC（生成 KSK / ZSK）
• 新 zone 正常签名

2. 在父域添加“双 DS”

假设：

• 旧 DNS：old-ds
• 新 DNS：new-ds

在注册商/父域同时添加：

DS old-ds
DS new-ds

这样无论解析到哪边都能通过校验

3. 切换 NS 记录

• 修改域名的 NS 指向新服务器
• TTL 等待生效（通常 24–48h）

4. 确认无误后删除旧 DS

• 新 DNS 稳定后
• 删除旧 DS 记录

✅ 优点：零中断
❌ 缺点：操作稍复杂

三、方法 2：先关 DNSSEC 再迁移（不推荐）

仅用于测试或极低重要域名

1. 在注册商删除 DS
2. 等 DNSSEC 失效
3. 换服务器
4. 重新签名 + 重新提交 DS

⚠️ 风险：删除 DS 期间若被劫持，安全性下降

四、同服务商换服务器（最简单）

如果是换机器但不换 DNS 平台：

1. 完整复制：
   • zone 文件
   • 私钥（KSK/ZSK）
   • 签名配置
2. 新服务器启用 DNSSEC
3. 确保 DS 不变
4. 切换 IP / 负载均衡

✅ DS 完全不用动

五、关键检查清单

迁移前后务必确认：

• [ ] dig +dnssec example.com DNSKEY 正常
• [ ] dig +dnssec example.com DS 与父域一致
• [ ] 新服务器返回 RRSIG
• [ ] 无 BOGUS 状态（用 delv 验证）
• [ ] NS 与 DS 时间窗口不冲突

六、示例验证命令

dig +dnssec example.com @新DNS
delv example.com

如果你愿意，可以告诉我：

• 用的是哪家 DNS（Cloudflare / Route53 / 自建 BIND / PowerDNS）
• 是换服务商还是换机器

我可以直接给你对应平台的精确操作步骤。