DNS la un alt furnizor, cum ar fi Cloudflare

Modulul 7: Conectarea serviciilor externe · Timp de citire: 9 minute

Obiectiv de învățare: După această lecție veți putea să transferați DNS-ul domeniului dumneavoastră către un furnizor DNS extern, veți ști ce înregistrări trebuie preluate și cum gestionați un proxy.

Concepte-cheie: servere de nume externe, preluarea zonei, înregistrări care trebuie preluate (A, AAAA, MX, SPF, DKIM, DMARC, subdomenii, verificări), proxy (nor portocaliu și nor gri), certificat în spatele unui proxy (Full strict), CNAME flattening

De ce DNS-ul în altă parte

Puteți avea site-ul dumneavoastră web la un furnizor, e-mailul la altul și DNS-ul la un al treilea. Oamenii aleg un furnizor DNS separat, de exemplu, pentru că vor toate domeniile într-un singur loc, pentru funcții suplimentare (cum ar fi un proxy care blochează atacurile) sau pentru că dezvoltatorul lor web configurează astfel. Cloudflare este un exemplu cunoscut, dar funcționează la fel la orice furnizor DNS extern.

Principiul îl cunoașteți din lecția 2.1: cine rulează serverele de nume, administrează DNS-ul. Dacă schimbați serverele de nume către un alt furnizor, înregistrările de la administratorul DNS anterior nu mai contează. Nici dacă furnizorul dumneavoastră de găzduire web sau de e-mail le are încă bine configurate acolo.

Ordinea: mai întâi pregătiți, apoi schimbați

1. Faceți un inventar al zonei dumneavoastră actuale. Exportați-o, faceți o copie de siguranță în panoul dumneavoastră sau faceți capturi de ecran ale tuturor înregistrărilor (lecția 6.3).
2. Pregătiți toate înregistrările la noul furnizor. Mulți furnizori citesc automat înregistrările dumneavoastră existente. Acest lucru este util, dar nu complet: găsesc doar numele pe care le pot ghici. Înregistrări precum x._domainkey, _dmarc, înregistrări TXT de verificare pe subdomenii sau un autodiscover sunt adesea omise. De aceea comparați cu inventarul dumneavoastră de la pasul 1.
3. Reduceți eventual în prealabil TTL-ul la furnizorul dumneavoastră actual (lecția 6.3).
4. Modificați serverele de nume la registrarul dumneavoastră către serverele de nume indicate de noul furnizor.
5. Verificați după schimbare dacă site-ul web, e-mailul și certificatul funcționează și dacă noul furnizor vede serverele de nume ca fiind active.

Unele registre, cum ar fi DENIC pentru .de, verifică la o modificare a serverelor de nume dacă domeniul dumneavoastră este deja pregătit pe noile servere de nume. Dacă zona nu este încă acolo, refuză modificarea. Și din acest motiv: pregătiți mai întâi.

Ce înregistrări trebuie preluate?

O listă de verificare pentru un domeniu cu site web și e-mail. Preluați valorile de la furnizorul dumneavoastră de găzduire web și de la furnizorul dumneavoastră de e-mail.

Aveți grijă la subdomeniile pe care le-ați creat în panoul dumneavoastră de găzduire. La DNS-ul furnizorului dumneavoastră de găzduire web, acestea ajungeau adesea automat în zonă sau funcționau printr-un wildcard (*). La un furnizor extern trebuie să le creați dumneavoastră înșivă sau să setați dumneavoastră înșivă un wildcard (lecția 3.3). Dacă creați mai târziu un subdomeniu nou în panoul dumneavoastră de găzduire, adăugați-l și la furnizorul DNS.

Și cheia DKIM a furnizorului dumneavoastră de găzduire web: aceasta se află la furnizorul dumneavoastră de găzduire web în zonă, de exemplu, ca x._domainkey. Copiați numele și întreaga valoare la noul furnizor. O greșeală frecventă este că valoarea este trunchiată pe parcurs sau că apar spații.

Proxy-ul: portocaliu sau gri

Cloudflare și servicii similare au, pe lângă DNS, un proxy. La Cloudflare vedeți acest lucru ca un norișor în spatele fiecărei înregistrări A, AAAA și CNAME:

• Portocaliu (proxied): DNS-ul nu returnează adresa IP a serverului dumneavoastră, ci o adresă de la Cloudflare. Vizitatorii merg mai întâi la Cloudflare, iar Cloudflare o redirecționează către serverul dumneavoastră. Acest lucru funcționează doar pentru site-uri web (http și https).
• Gri (DNS only): DNS-ul returnează pur și simplu adresa IP reală. Cloudflare face atunci doar DNS.

Consecințe:

• E-mailul nu trece prin proxy. Setați înregistrarea pentru mail și tot ce folosesc programul dumneavoastră de e-mail sau alte servere de e-mail pe gri. Dacă mail este setat pe portocaliu, atunci MX-ul dumneavoastră indică o adresă de la Cloudflare care nu acceptă e-mail.
• De asemenea, FTP, SSH și alt trafic non-web nu trece prin proxy. Folosiți pentru acestea un nume cu un nor gri sau numele serverului de la furnizorul dumneavoastră de găzduire web.
• Certificate. Cu portocaliu, un emitent de certificate precum Let's Encrypt nu vede direct serverul dumneavoastră. Solicitarea automată a unui certificat la furnizorul dumneavoastră de găzduire web poate eșua atunci. Setați temporar proxy-ul pe gri până când furnizorul dumneavoastră de găzduire web obține certificatul, sau folosiți o metodă care funcționează prin DNS.
• Modul SSL. Setați la Cloudflare modul SSL pe Full (strict) dacă serverul dumneavoastră are un certificat valid. În modul „Flexible”, traficul dintre Cloudflare și serverul dumneavoastră nu este criptat, iar acest mod provoacă în plus adesea o buclă de redirecționare nesfârșită la site-urile web care redirecționează deja ele însele către https.

CNAME pe domeniul rădăcină (apex)?

Un CNAME obișnuit pe @ nu este posibil (lecția 3.2). Unii furnizori DNS oferă o soluție pentru aceasta, sub denumiri precum CNAME flattening, ALIAS sau ANAME. Dumneavoastră introduceți atunci un nume pentru @, iar furnizorul DNS caută el însuși adresa IP corespunzătoare și o returnează ca înregistrare A sau AAAA. Pentru lumea exterioară apare deci pur și simplu o înregistrare A.

Util atunci când o platformă vă oferă doar un nume. Dar nu este DNS standard: dacă vă mutați la un furnizor care nu îl cunoaște, trebuie să creați din nou o înregistrare A cu o adresă IP.

Recunoașterea problemelor

• „Am modificat o înregistrare și nu se întâmplă nimic.” Verificați ce servere de nume folosește domeniul dumneavoastră (lecția 8.2). Dacă se află la furnizorul extern, modificați înregistrarea acolo.
• Site-ul web funcționează, e-mailul nu. Lipsește MX, lipsește înregistrarea A pentru mail, sau mail este setat pe portocaliu?
• E-mailul sosește, dar mai des în spam. Înregistrarea DKIM uitată sau trunchiată, sau SPF nu a fost preluat.
• Eroare de certificat sau buclă de redirecționare. Proxy activ cu modul SSL Flexible, sau furnizorul dumneavoastră de găzduire web nu a putut solicita un certificat.

În practică: așa arată într-un panou

În panoul exemplu Contul meu WebOké vedeți în fila DNS, în partea de sus, ce servere de nume folosește domeniul dumneavoastră. Dacă acolo se află servere de nume externe, modificările din Contul meu WebOké sau DirectAdmin nu au niciun efect. Valorile de care aveți nevoie la furnizorul extern (adresa IP, numele serverului pentru MX, cheia DKIM la x._domainkey) le citiți în DNS Administration din DirectAdmin sau în e-mailul de bun venit al pachetului dumneavoastră. Serverele de nume le modificați pe pagina domeniului, la secțiunea Nameservers.

În alte panouri, cum ar fi cPanel, Plesk sau ecranul DNS al registrarului dumneavoastră, vedeți aceleași înregistrări. La furnizorul extern, butoanele se numesc diferit, dar completați aceleași câmpuri: nume, tip, valoare, TTL, iar la Cloudflare modul proxy.

Rezumat

• Cine rulează serverele de nume, administrează DNS-ul. Înregistrările de la furnizorul dumneavoastră anterior nu mai contează.
• Pregătiți mai întâi toate înregistrările la noul furnizor și comparați cu un inventar al zonei dumneavoastră vechi; apoi schimbați serverele de nume.
• Nu uitați: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, verificări și subdomenii.
• E-mailul și alt trafic non-web nu trec printr-un proxy: setați acele înregistrări pe „DNS only” (gri).
• Folosiți la un proxy modul SSL Full (strict). CNAME flattening funcționează doar la furnizorii care îl oferă.

Quiz

Exercițiu

Exercițiul Z7.5: Recunoașterea DNS-ului extern.

1. Căutați serverele de nume ale domeniului cloudflare.com. Cu ce domeniu se termină?
2. Căutați înregistrările A ale domeniului cloudflare.com. Notați o înregistrare A. Acestea sunt adrese ale Cloudflare însuși: așa funcționează un proxy.
3. Alegeți un domeniu pe care îl cunoașteți (poate fi propriul dumneavoastră domeniu). Căutați serverele de nume și completați numele domeniului și serverele de nume. După numele serverelor de nume vedeți la ce furnizor este administrat DNS-ul.

Verificarea solicită înregistrările live la predare.

Lectură suplimentară

Aceste pagini descriu pașii în panourile WebOké (DirectAdmin și Contul meu WebOké). În alte panouri funcționează în același mod.

• Utilizați nameservere proprii sau externe (precum Cloudflare) pentru domeniul dumneavoastră
• Configurarea DKIM când DNS-ul este găzduit pe un server extern
• Manual DirectAdmin 5.12: DNS în Contul meu WebOké și la servere de nume externe, cum ar fi Cloudflare
• Manual WebOké 5.3: Modificați serverele de nume
• Manual DirectAdmin 6.6: Let's Encrypt nu funcționează: cauze și soluții