フェーズ 4: 移行後の確認と DNSSEC の再有効化

切り替え後は、動作確認と安定化を行います。

1. DNS に依存するすべてのサービスをテストします。Web サイト、メール（送受信）、VPN、API などです。
2. 可能であれば、異なるネットワークや地域からテストします。
3. アプリケーションログで、DNS 関連のエラーがないか監視します。

DNS が Cloudflare 経由で正しく解決され、ネームサーバーの変更が十分に伝播したことを確認してから、DNSSEC を有効化します。実務では、レジストラに新しい DS レコードを追加したあと、少なくとも DS TTL の 1 倍は待つ計画にします。

Cloudflare での操作:

1. Cloudflare ダッシュボードで、ゾーンの DNS Settings を開きます。

   Settings を開く ↗

2. Enable DNSSEC を選択します。Cloudflare がゾーンに署名し、DNSKEY と DS レコードの詳細を生成します。

レジストラでの操作:

1. ドメインレジストラにログインします。
2. ドメインの DNSSEC 管理画面を開きます。
3. Cloudflare が提示する DS レコードの詳細を追加します。

DS レコードを追加したあと、伝播を待ち、DNSViz ↗ や Verisign の DNSSEC debugger ↗ などで設定を検証します。詳細は DNSSEC を参照してください。

移行が安定し、DNSSEC を使う場合は有効化したあと、移行中に短くしていた DNS レコードの TTL を、通常の値に戻します。たとえば、頻繁に変わるレコードは 3600 秒、非常に安定したレコードは 86400 秒です。

TTL を長くすると、リゾルバーのキャッシュ効率が上がり、再帰リゾルバーがキャッシュ済みの応答をより長く再利用できるため、レイテンシを下げられることがあります。一方で、変更を加えたときの伝播は遅くなります。

最初にレコードを DNS Only（グレークラウド）にしていた場合は、HTTP/S レコード（A、AAAA、CNAME）で Cloudflare のプロキシ（オレンジクラウド）を有効にし、CDN、WAF、その他のセキュリティとパフォーマンス機能を使うよいタイミングです。プロキシを有効化したあとは、十分にテストします。

十分な安定期間（たとえば、完全な伝播とテスト成功から数日〜1 週間）を置き、Cloudflare の構成に確信が持ててから、オンプレミスの BIND サーバーを停止します。

古い BIND サーバーをまだ指しているリゾルバーがないことを確認します。内部リゾルバーを別途扱っていない場合は、特に重要です。

新しい DNS インフラを反映するよう、社内の IT ドキュメントを更新します。監視システムが Cloudflare 経由の DNS 解決を確認するようにします。