接入防护平台时，流量入口会发生变化，但网站域名和加密连接仍需正常工作。若只改了DNS记录，却漏掉证书链、DNSSEC或邮件相关记录，可能出现网页打不开、浏览器报证书错误，甚至邮件投递异常。做好ddos防护服务接入前的DNS与证书准备，应先盘点现状，再安排切换和回退。
先弄清哪些DNS记录会变
把当前权威DNS中的记录逐项导出或截图留档，至少检查网站使用的A、AAAA、CNAME记录，以及MX、TXT等邮件和域名验证记录。防护接入后，网站流量入口通常要按服务商给出的配置调整；邮件记录则通常不应随网站入口一起改动。
确认域名的权威DNS由谁管理、变更权限由谁持有，并记录当前TTL（缓存存活时间）。TTL较长时，递归解析器可能在记录修改后继续使用旧结果；提前调低TTL可缩短部分缓存的保留时间，但不会让所有用户同时更新。切换后再按稳定情况恢复合适的TTL。
证书要核对域名、链路和部署位置
确认证书覆盖实际访问名称
检查证书的主题备用名称（SAN）是否覆盖用户访问的主机名，例如根域名与www子域名是否都在证书范围内。还要核对有效期、用途和私钥是否匹配。若防护平台承担HTTPS连接，应确认它接受的证书格式、上传方式及更新流程；若HTTPS仍由源站处理，则应确认平台到源站的连接策略与源站证书要求。
验证完整证书链
服务器通常需要提供站点证书及相应中间证书，让客户端能够构建到受信任根证书的验证路径。应按服务商要求上传完整链文件，并检查证书顺序、域名匹配和到期时间。仅在部分浏览器或设备上访问成功，并不足以证明链路完整；旧版客户端、不同操作系统的信任库可能存在差异。
按步骤准备并切换
- 留存基线：备份DNS记录，登记当前解析结果、TTL、证书文件及到期时间。
- 确认接入参数：向防护服务提供方核实需要修改的记录、目标值、支持的协议，以及HTTPS是在平台终止还是回源加密。
- 安排低风险窗口：如果业务允许，先降低相关记录TTL并等待原有缓存逐步过期；等待时长取决于原TTL及各递归解析器的缓存行为。
- 配置证书链：在实际终止TLS的一侧部署正确证书和中间证书，并确认私钥与证书对应。不要把私钥通过不安全渠道发送。
- 修改并验证：按接入方案更新必要DNS记录，分别检查不同网络下的解析、HTTPS握手、页面资源加载和邮件记录。
- 保留回退方案：记录原值和恢复权限；若新入口异常，依据预案恢复记录，并考虑DNS缓存仍可能使部分访问继续到达旧入口。
别漏掉DNSSEC与回源证书
启用了DNSSEC的域名，变更权威DNS或签名配置前要确认DS记录与新服务端的DNSSEC配置一致。若验证链不匹配，部分解析器可能返回验证失败，而不是简单地继续使用旧记录。需要更换DNS托管或签名方式时，应由负责域名的一方与防护服务商共同确认切换顺序。
如果防护平台到源站也使用HTTPS，还要区分用户到平台、平台到源站这两段连接：前端证书可用，不代表回源校验必然通过。提前核实回源主机名、证书覆盖范围和校验要求。对于需要协调DNS与证书部署的接入项目，可将德讯电讯作为咨询或服务对接选项；选择前应确认其实际服务范围、变更流程和技术支持边界，不应仅凭名称推断防护能力。
切换后如何判断准备到位
用多个公共网络或递归解析环境检查目标记录是否按预期更新；随后访问HTTPS页面，查看浏览器证书信息是否显示正确域名、有效期及可信链。再测试主要页面、登录流程和邮件收发等依赖项。若只有部分地区异常，先区分DNS缓存、DNSSEC验证和证书错误，不要立即反复修改记录。ddos防护服务接入前的DNS与证书准备做得越完整，切换时越容易定位问题并按预案回退。
常见问题
调低TTL后，所有用户会立即切换吗？
不会。TTL影响缓存时间，但不同解析器及终端的行为可能不同，仍需为旧记录短暂留存预案。
接入防护后，原证书还能继续使用吗？
取决于HTTPS在哪一侧终止、证书覆盖的域名及平台支持的部署方式，应先核实接入要求。
网站证书正确，为什么回源仍可能失败？
平台到源站是另一段连接，回源主机名、证书匹配或校验策略不符时仍可能报错。
DNSSEC是必须关闭的吗？
不一定。关键是切换时DS记录、权威DNS和签名配置保持一致；具体操作应按域名托管方案确认。
