Zusammenfassung

  • Cloudflare dokumentiert einen Fall, in dem nach einer CNAME-Änderung alte Inhalte erscheinen: Der bisherige SaaS-Anbieter hat einen exakten Hostnamen eingerichtet, der neue lediglich einen Platzhalter.
  • Der neue Anbieter kann den konkreten Hostnamen anlegen. Zur Übergabe gehören die Vorbereitung von Hostname und Zertifikat, der DNS-Wechsel, der Nachweis des neuen Verkehrswegs und anschließend das Entfernen der alten Konfiguration.

Eine Abnahme mit einem fehlenden Empfänger

Man stelle sich einen Händler vor, der seinen Webshop umzieht. Der Einkauf bestätigt den Vertrag, die Technik den neuen DNS-Eintrag, die Projektleitung den Abschluss. Ein Kunde öffnet die bekannte Adresse und sieht den alten Shop. Auch die verschlüsselte Verbindung funktioniert. Das Abnahmeprotokoll enthält mehrere richtige Aussagen und trotzdem eine falsche Schlussfolgerung.

Die Fehlersuche für Cloudflare for SaaS nennt eine konkrete Konstellation dafür. Ein bestimmter Hostname beim alten Anbieter kann vor einem Platzhalter beim neuen Anbieter rangieren. Dann kann die frühere Konfiguration auch nach Änderung des CNAME weiter Vorrang haben.

Der neue Vertrag gewinnt keine Abstimmung über diesen Rang. Das System vergleicht die Genauigkeit von Einträgen. Aus einer kaufmännischen Auswahl muss noch eine nachweisbare Zustellung werden.

Die einzelne Hausnummer schlägt die breite Einladung

Ein Eintrag für mystore.example.com bezeichnet eine bestimmte Adresse. Ein Platzhalter deckt mehrere Namen ab und vereinfacht die Verwaltung. Beim Umzug trifft diese bequeme Sammelregel möglicherweise auf einen älteren Eintrag, der genau den angefragten Namen nennt.

Cloudflares Regeln zur Hostnamenpriorität beschreiben den Fall mehrerer über den Proxy geführter DNS-Einträge für denselben Namen in verschiedenen Zonen. Nur ein Eintrag steuert die Zoneneinstellungen und den zugehörigen Ursprungsserver. Unter diesen Voraussetzungen kommt die exakte Übereinstimmung vor dem Platzhalter. Ein Beispiel lässt einen alten exakten Eintrag vor einem neu eingerichteten Platzhalter gewinnen.

Der neue Dienstleister muss deshalb wissen, welchen Bestand er ablöst. Eine Konfiguration, die viele Kunden mit wenig Aufwand aufnimmt, kann für die Übernahme dieser einen Adresse zu grob sein. Der Verwaltungsgewinn aus der Sammelregel lässt eine Einzelprüfung beim Übergang übrig.

Für den Händler zählt die Wirkung: Er hat einen anderen Dienst gewählt, während die Anfragen noch von der alten Konfiguration bestimmt werden können. DNS-Verantwortlicher und neuer Plattformbetreiber müssen ihre Ergebnisse an derselben Adresse zusammenführen.

Der neue Anbieter hat einen konkreten Auftrag

Cloudflare empfiehlt, beim neuen Anbieter den bestimmten Hostnamen anstelle des Platzhalters einzurichten. Als weitere Möglichkeit nennt die Dokumentation eine Anfrage des Super Administrator des Kontos an Cloudflare Support zur Anpassung der SaaS-Konfiguration.

Die Übergaberunde kann daher eine beantwortbare Frage stellen: Hat der neue Anbieter diesen exakten Namen angelegt? Dem bisherigen Anbieter sofort eine Blockadeabsicht zu unterstellen würde die dokumentierte Handlungsmöglichkeit des Nachfolgers übergehen. Die öffentlichen Quellen enthalten weder Konfigurationsbestand noch Migrationsprotokolle oder Ausfallkosten eines konkreten Kunden; diese Unterlagen würden dessen tatsächliche Betroffenheit zeigen.

Die neue Anwendung kann bereitstehen und der Einkauf bereits bezahlt haben. Ohne ankommende Besucher bleibt ein wesentlicher Teil der bestellten Leistung aus. Bestätigungen über angelegte oder geänderte Einträge müssen in einen Zustellnachweis münden.

Die erfolgreiche Verschlüsselung kann zu etwas anderem gehören

Die Einrichtungsanleitung trennt die Aktivierung des Hostnamens von Ausstellung und Bereitstellung seines Zertifikats. Für Produktionsverkehr müssen beide Zustände aktiv sein und der DNS-Eintrag auf das vorgesehene SaaS-Ziel zeigen.

Ein erfolgreicher TLS-Verbindungsaufbau kann früher auftreten. Cloudflare kann ein anderes zum Namen passendes Zertifikat präsentieren, während das neu angeforderte noch nicht aktiv ist. Wer allein die gelungene Verschlüsselung abnimmt, bestätigt damit noch nicht die Bereitstellung dieser neuen Berechtigung.

Auch ein aktiver Fallback-Origin hat einen bestimmten Aussagewert. Laut Anleitung ist Cloudflare dann bereit, Verkehr an den bezeichneten DNS-Eintrag zu senden. Ob dieser auf den richtigen Ursprungsserver führt, muss weiterhin geprüft werden. Ein grünes Feld kann die Versandbereitschaft melden, während der Empfänger noch zu kontrollieren ist.

Eine kaufmännisch brauchbare Abnahme braucht dafür keinen Vertrag voller Schnittstellenfelder. Sie sollte vier Dinge zusammenbringen: den aktivierten exakten Namen, das fertige Zertifikat, das richtige DNS-Ziel und eine Anfrage, die tatsächlich von der neuen Zone und der erwarteten Anwendung verarbeitet wurde. Der Kunde erlebt das letzte Ergebnis; die anderen drei sollen es ermöglichen.

Zwei vorbereitete Eingänge helfen beim Wechsel

Die Dokumentation zur Namensprüfung erlaubt mehreren SaaS-Anbietern gleichzeitig einen aktiven benutzerdefinierten Hostnamen für dieselbe Domain. Eine Vorabprüfung eines bereits auf Cloudflare geführten Namens verschiebt für sich genommen noch keinen Verkehr.

Die gewöhnliche empfohlene Übergabe beginnt mit dem Anlegen und Vorabprüfen des Namens in der neuen Zone. Danach wird das Zertifikat mit TXT oder delegierter Validierung vorbereitet. Der Kunde ändert den CNAME, der Übergang des Verkehrs zur neuen Zone wird bestätigt, anschließend kann der alte Anbieter seinen Eintrag löschen. Zu diesem Ablauf gehört die Prüfung der Rangfolge von exakten Einträgen und Platzhaltern.

Die Überschneidung hat einen betrieblichen Nutzen. Der alte Dienst behält seinen Platz, während der neue seine Annahme vorbereitet. Bei Echtzeitprüfung des Namens oder automatischer HTTP-Zertifikatsprüfung erst nach dem DNS-Wechsel kann dagegen während der Aktivierung eine kurze Unterbrechung entstehen, wie die Einrichtungsanleitung erläutert.

Der alte Eintrag gehört daher in einen eigenen Aufräumschritt nach dem Ankunftsnachweis. Zu frühes Löschen beseitigt möglicherweise noch benötigte Vorbereitung. Dauerhaft liegen gebliebene Einträge vergrößern den Bestand, den die nächste Fehlersuche verstehen muss. Vorbereiten, übergeben und aufräumen sind drei beobachtbare Ereignisse.

Die bekannte Adresse über einen Anbieterwechsel hinweg zu behalten ist für den Händler wertvoll. Hinter dieser Adresse sollte anschließend auch der Betrieb stehen, den er gewählt hat. Der Besucher wird das Organigramm des Umzugs kaum würdigen. Er sieht den Shop, der sich öffnet.