目标
在故障或迁移场景下，把生产域名的权威 DNS 从主服务商切换到备用服务商。切换前必须已完成记录同步、TTL 降低和 DNSSEC 状态协调，切换后从多个公共解析器确认解析结果。
步骤
- 从当前服务商导出全部记录，包括 MX、TXT、CAA、SRV，以及自动化管理的 ACME 挑战记录和所有权验证记录。
- 在备用服务商创建区域并导入记录，比较规范化后的记录集，除服务商自己的名称服务器记录外应完全一致：
dig +short NS example.com @1.1.1.1
dig +short A api.example.com @8.8.8.8
dig +short MX example.com @9.9.9.9
diff <(sort primary-zone.txt) <(sort standby-zone.txt)- 切换前至少一天把区域默认 TTL 和关键记录 TTL 降到 60 秒。
- 如果两家服务商的签名密钥不同，先在注册商删除 DS 记录并等待旧 TTL 过期，再切换名称服务器；如果支持导入相同密钥，则保持 DS 不变。
- 在注册商处把名称服务器改为备用服务商地址，并通过注册局和多个解析器确认委派生效。
- 逐项验证 A、AAAA、MX、TXT、CAA 和 SRV 记录，与基线导出对比。
验证
对权威名称服务器以及 1.1.1.1、8.8.8.8、9.9.9.9 分别执行 dig，确认关键记录一致；注册商显示新的名称服务器；DNSSEC 验证通过或已按计划移除；邮件和证书签发所需的 TXT 记录均可解析。
回滚
回滚是把注册商处的名称服务器改回原服务商。只要两个区域仍然存在且记录一致，操作完全可逆，但传播时间取决于 TTL，而不是立即生效，因此两个服务商都要保持权威并同步至少 30 天。删除旧区域或其 DNSSEC 密钥是不可逆步骤，必须在回滚窗口结束后执行。切换期间不要同时修改记录和委派，否则不同解析器会缓存不同答案，表现为局部故障。