Вашият DNS при друг доставчик, например Cloudflare

Модул 7: Свързване на външни услуги · Време за четене: 9 минути

Цел на урока: След този урок ще можете да прехвърлите DNS на домейна си към външен DNS доставчик, ще знаете кои записи трябва да пренесете и как да се справяте с прокси.

Основни понятия: външни DNS сървъри (nameservers), прехвърляне на зона, записи, които трябва да пренесете (A, AAAA, MX, SPF, DKIM, DMARC, поддомейни, верификации), прокси (оранжев и сив облак), сертификат зад прокси (Full strict), CNAME flattening

Защо Вашият DNS е другаде

Можете да имате уебсайта си при един доставчик, имейла при втори и DNS при трети. Хората избират отделен DNS доставчик например защото искат всичките си домейни на едно място, заради допълнителни функции (като прокси, който спира атаки) или защото уебразработчикът им го настройва така. Cloudflare е известен пример за това, но принципът е същият при всеки външен DNS доставчик.

Принципа познавате от урок 2.1: който управлява DNS сървърите (nameservers), управлява DNS-а. Ако смените DNS сървърите към друг доставчик, записите при предишния Ви DNS администратор вече не важат. Дори ако Вашият уеб хостинг или доставчик на имейл услуги все още ги има подредени там.

Последователността: първо подгответе, после сменете

1. Направете опис на текущата си зона. Експортирайте я, направете резервно копие в панела си или направете снимки на екрана на всички записи (урок 6.3).
2. Подгответе всички записи при новия доставчик. Много доставчици автоматично прочитат съществуващите Ви записи. Това е удобно, но не е пълно: те намират само имена, които могат да се досетят. Записи като x._domainkey, _dmarc, верификационни TXT записи на поддомейни или autodiscover често се пропускат. Затова сравнявайте с описа от стъпка 1.
3. Евентуално намалете предварително TTL при текущия си доставчик (урок 6.3).
4. Сменете DNS сървърите при своя регистратор с тези, посочени от новия доставчик.
5. След смяната проверете дали уебсайтът, имейлът и сертификатът работят, и дали новият доставчик вижда DNS сървърите като активни.

Някои регистри, като DENIC за .de, проверяват при смяна на DNS сървър дали домейнът Ви вече е подготвен на новите DNS сървъри. Ако зоната все още не е там, те отказват промяната. И затова: първо подгответе.

Кои записи трябва да пренесете?

Контролен списък за домейн с уебсайт и имейл. Вземете стойностите от Вашия уеб хостинг и доставчика на имейл услуги.

Внимавайте с поддомейните, които сте създали в хостинг панела си. При DNS-а на Вашия уеб хостинг те често попадаха автоматично в зоната или работеха чрез wildcard запис (*). При външен доставчик трябва сами да ги създадете или сами да зададете wildcard (урок 3.3). Ако по-късно създадете нов поддомейн в хостинг панела си, добавете го и при DNS доставчика.

А DKIM ключът на Вашия уеб хостинг: той се намира в зоната при уеб хостинга Ви, например като x._domainkey. Копирайте името и цялата стойност към новия доставчик. Често срещана грешка е стойността да бъде отрязана по пътя или в нея да попаднат интервали.

Проксито: оранжево или сиво

Cloudflare и подобни услуги имат освен DNS и прокси. При Cloudflare това се вижда като облаче до всеки A, AAAA и CNAME запис:

• Оранжево (proxied): DNS-ът не връща IP адреса на Вашия сървър, а адрес на Cloudflare. Посетителите отиват първо при Cloudflare, а Cloudflare ги препраща към Вашия сървър. Това работи само за уебсайтове (http и https).
• Сиво (DNS only): DNS-ът просто връща истинския IP адрес. Тогава Cloudflare предоставя само DNS.

Последствия:

• Имейлът не минава през проксито. Задайте записа за mail и всичко, което Вашата имейл програма или други имейл сървъри използват, на сиво. Ако mail е на оранжево, Вашият MX запис сочи към адрес на Cloudflare, който не приема имейли.
• Също така FTP, SSH и друг трафик, различен от уеб, не минава през проксито. Използвайте за това име със сив облак или името на сървъра на Вашия уеб хостинг.
• Сертификати. При оранжево, издател на сертификати като Let's Encrypt не вижда директно Вашия сървър. Автоматичното заявяване на сертификат при уеб хостинга Ви тогава може да се провали. Задайте проксито временно на сиво, докато уеб хостингът Ви издаде сертификата, или използвайте метод, който работи през DNS.
• SSL режим. При Cloudflare задайте SSL режима на Full (strict), ако сървърът Ви има валиден сертификат. В режим "Flexible" трафикът между Cloudflare и Вашия сървър не е криптиран, а този режим освен това често причинява безкраен цикъл на пренасочване при уебсайтове, които вече сами пренасочват към https.

CNAME на основния домейн?

Обикновен CNAME запис на @ не е възможен (урок 3.2). Някои DNS доставчици предлагат решение за това, под имена като CNAME flattening, ALIAS или ANAME. Тогава въвеждате име за @, а DNS доставчикът сам търси съответния IP адрес и го връща като A или AAAA запис. За външния свят значи просто изглежда като обикновен A запис.

Полезно е, когато платформа Ви дава само име. Но това не е стандартен DNS: ако се преместите при доставчик, който не поддържа тази функция, ще трябва отново да създадете A запис с IP адрес.

Разпознаване на проблеми

• "Промених запис и нищо не се случва." Проверете кои DNS сървъри (nameservers) използва домейнът Ви (урок 8.2). Ако са при външния доставчик, променете записа там.
• Уебсайтът работи, имейлът не. Липсва ли MX, липсва ли A записът за mail, или mail е на оранжево?
• Имейлът пристига, но по-често в спам. DKIM записът е забравен или отрязан, или SPF не е пренесен.
• Грешка в сертификата или цикъл на пренасочване. Проксито е включено с SSL режим Flexible, или уеб хостингът Ви не е успял да заяви сертификат.

На практика: ето как изглежда в панел

В примерния панел Моят WebOké на раздела DNS най-отгоре виждате кои DNS сървъри (nameservers) използва домейнът Ви. Ако там са посочени външни DNS сървъри, промените в Моят WebOké или DirectAdmin нямат ефект. Стойностите, които са Ви нужни при външния доставчик (IP адрес, име на сървъра за MX, DKIM ключ при x._domainkey), можете да откриете в DNS Administration на DirectAdmin или в приветственото имейл съобщение на Вашия пакет. DNS сървърите сменяте на страницата на домейна при картата Nameservers.

В други панели, като cPanel, Plesk или DNS екрана на Вашия регистратор, виждате същите записи. При външния доставчик бутоните се наричат различно, но попълвате същите полета: име, тип, стойност, TTL, а при Cloudflare и режима на проксито.

Обобщение

• Който управлява DNS сървърите, управлява DNS-а. Записите при предишния доставчик вече не важат.
• Първо подгответе всички записи при новия доставчик и сравнете с опис на старата си зона; едва след това сменете DNS сървърите.
• Не забравяйте: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, верификации и поддомейни.
• Имейлът и друг трафик, различен от уеб, не минават през прокси: задайте тези записи на "DNS only" (сиво).
• При прокси използвайте SSL режим Full (strict). CNAME flattening работи само при доставчици, които го предлагат.

Тест

Задача

Задача Z7.5: Разпознаване на външен DNS.

1. Открийте DNS сървърите (nameservers) на cloudflare.com. На кой домейн завършват те?
2. Открийте A записите на cloudflare.com. Препишете един A запис. Това са адреси на самата Cloudflare: така работи прокси.
3. Изберете домейн, който познавате (може да е и Вашият собствен домейн). Открийте DNS сървърите и въведете името на домейна и DNS сървърите. По имената на DNS сървърите виждате при кой доставчик се управлява DNS-ът.

Проверката изисква записите в реално време при предаването.

За по-нататъшно четене

Тези страници описват стъпките в панелите на WebOké (DirectAdmin и Моят WebOké). В други панели работи по същия начин.

• Използване на собствени или външни nameserver сървъри (като Cloudflare) за Вашия домейн
• Настройване на DKIM, когато DNS е на външен сървър
• Ръководство за DirectAdmin 5.12: DNS в Моят WebOké и при външни сървъри за имена като Cloudflare
• Ръководство на WebOké 5.3: Промяна на сървърите за имена
• Ръководство за DirectAdmin 6.6: Let's Encrypt не успява: причини и решения