运维手册腾讯云日本服务器地址变更时的DNS与证书处理流程

1.

准备与风险评估

1.1 确认变更范围：列出所有受影响的域名、子域（A/AAAA/CNAME）、负载均衡器和 CDN、外部依赖（第三方回调、API 白名单）。

1.2 评估影响：统计用户分布与流量高峰期，决定变更时间窗口（建议低峰时段），列出回滚条件与联系人员名单。

2.

在腾讯云控制台查看当前资源

2.1 登录腾讯云控制台 → 云服务器（CVM），确认日本区域实例与弹性公网IP（EIP）编号与当前公网 IP。

2.2 如果使用负载均衡（CLB），在负载均衡页面查看监听器、后端服务器组并记录当前健康检查策略。

3.

提前降低DNS TTL（至少提前 24 小时）

3.1 在 DNS 管理（如腾讯云解析或 DNSPod）中找到对应域名记录，记录原始 TTL 并将 TTL 调低到 60 或 300 秒。

3.2 等待旧 TTL 到期后再次核实：使用 dig 域名 @8.8.8.8 +short 或 dig +trace 检查生效。

4.

更新 DNS 记录 — 逐条操作并校验

4.1 修改 A/AAAA 记录：将指向旧 IP 的记录改为新日本服务器的公网 IP。若使用 CNAME，确认 CNAME 指向的新主机地址已正确解析。

4.2 操作方法示例（控制台）：选择域名 → 编辑记录 → 修改记录值 → 保存。操作后立即用 dig 和 nslookup 在本地和公网 DNS 上验证。

4.3 验证命令：dig +short example.com @1.1.1.1；nslookup example.com 8.8.8.8；注意检查返回的 IP 与预期一致。

5.

证书策略：迁移现有证书或重签

5.1 如果打算迁移现有证书（自签或 CA 签发）：在旧服务器上导出证书与私钥（PEM 或 PKCS#12）。示例：openssl pkcs12 -export -in cert.pem -inkey privkey.pem -out cert.pfx。

5.2 将证书安全传输到新服务器（scp/sftp），放置到 /etc/ssl/private 或 nginx 指定目录，设置权限 chmod 600 并 chown root:root。

5.3 若使用 Let’s Encrypt/ACME（推荐重签）：在新机上安装 certbot，使用 certbot certonly --nginx 或 --standalone；若无法开 80/443，使用 DNS-01 验证并通过 API 更新 TXT 记录（DNS 服务需支持 API）。

6.

Web/Proxy（Nginx/Apache/HAProxy）配置与热切换

6.1 在新服务器配置好 HTTPS：nginx 配置示例 server_name、ssl_certificate、ssl_certificate_key 路径，执行 nginx -t 确认配置无误。

6.2 启动或重载服务：systemctl restart nginx 或 nginx -s reload；检查监听端口：ss -tlnp | grep 443。

6.3 使用 OpenSSL 与 curl 验证证书与链：openssl s_client -connect example.com:443 -servername example.com；curl -vkI https://example.com/。

7.

流量切换与灰度策略（若使用负载均衡）

7.1 先在 CLB 后端加入新服务器，将其权重设低，观察健康检查与错误率；分阶段增加权重直至全部流量切换。

7.2 无 CLB 情况可采用 DNS 权重或分批次更改子域解析，验证功能后再完全切换。

8.

综合验证与回滚步骤

8.1 验证点：DNS 解析到新 IP、证书链完整、HTTP/HTTPS 正常响应、第三方回调能到达新 IP。

8.2 回滚流程：若发现故障，立即将 DNS 回改到旧 IP（若 TTL 已恢复到原值需考虑缓存），或在 CLB 中恢复旧后端。保持沟通并记录时间点。

8.3 建议保留旧服务器至少 48 小时作为备用，监控日志与错误率达平稳再下线。

9.

运维常用命令速查表

9.1 DNS 与连通性：dig +short example.com @8.8.8.8；nslookup example.com 1.1.1.1；ping、traceroute。

9.2 证书与服务：openssl x509 -in cert.pem -noout -text；openssl s_client -connect example.com:443 -servername example.com；systemctl status nginx。

10.

问：变更 DNS 后证书会失效吗？

答：不会直接失效。证书是按域名签发的，与解析到的 IP 无关。证书失效主要发生在私钥丢失、证书链错误或过期。变更 IP 后需确保新服务器上正确安装私钥与证书或完成新的 ACME 验证和签发。

11.

问：如果不能在新机开 80/443，该如何申请或续签证书？

答：使用 DNS-01 验证方式（推荐）。利用 certbot 的 --manual 或 DNS 插件，通过在 DNS 中添加指定的 TXT 记录完成域名所有权验证；若使用腾讯云 DNS，可通过 API 自动下发 TXT，配合脚本完成自动化续签。

12.

问：变更期间如何最小化用户影响并快速回滚？

答：提前降低 TTL、选择低峰窗口、先灰度切换并监控。准备好旧环境快照与旧 IP 的 DNS 回滚记录。若使用 CLB，优先在负载均衡内做流量切换而非直接 DNS 全量切换，出现问题时直接恢复后端或回改 DNS。

来源：运维手册腾讯云日本服务器地址变更时的DNS与证书处理流程