Módulo 7 · 7.5

O seu DNS noutro fornecedor, como o Cloudflare

Módulo 7: Ligar serviços externos · Tempo de leitura: 9 minutos

Objetivo de aprendizagem: Após esta lição, saberá transferir o DNS do seu domínio para um fornecedor de DNS externo, saberá que registos deve manter e como lidar com um proxy.

Conceitos-chave: servidores de nomes externos, assumir a zona, registos a manter (A, AAAA, MX, SPF, DKIM, DMARC, subdomínios, verificações), proxy (nuvem laranja e cinzenta), certificado atrás de um proxy (Full strict), CNAME flattening

Porquê ter o DNS noutro sítio

Pode ter o seu website numa empresa, o seu e-mail numa segunda e o seu DNS numa terceira. As pessoas escolhem um fornecedor de DNS separado, por exemplo, porque querem ter todos os seus domínios num só lugar, por funcionalidades extra (como um proxy que bloqueia ataques) ou porque é assim que o criador do seu website o configura. O Cloudflare é um exemplo conhecido disso, mas o funcionamento é igual em qualquer fornecedor de DNS externo.

Já conhece o princípio da lição 2.1: quem opera os servidores de nomes gere o DNS. Se alterar os servidores de nomes para outro fornecedor, os registos no seu anterior gestor de DNS deixam de ter efeito. Mesmo que o seu alojamento web ou fornecedor de e-mail ainda tenha tudo bem configurado lá.

A ordem certa: primeiro preparar, depois trocar

Faça um resumo da sua zona atual. Exporte-a, faça uma cópia de segurança no seu painel ou faça capturas de ecrã de todos os registos (lição 6.3).
Prepare todos os registos no novo fornecedor. Muitos fornecedores importam automaticamente os seus registos existentes. É útil, mas não é completo: só encontram nomes que conseguem adivinhar. Registos como x._domainkey, _dmarc, registos TXT de verificação em subdomínios ou um autodiscover são frequentemente esquecidos. Compare, por isso, com o resumo do passo 1.
Reduza previamente o TTL, se possível, no seu fornecedor atual (lição 6.3).
Altere os servidores de nomes no seu registrar para os servidores de nomes indicados pelo novo fornecedor.
Verifique após a troca se o website, o e-mail e o certificado funcionam, e se o novo fornecedor considera os servidores de nomes como ativos.

Algumas registries, como a DENIC para o .de, verificam numa alteração de servidores de nomes se o seu domínio já está preparado nos novos servidores de nomes. Se a zona ainda não existir lá, recusam a alteração. Também por isso: prepare tudo primeiro.

Que registos devem ser mantidos?

Uma lista de verificação para um domínio com website e e-mail. Copie os valores do seu alojamento web e do seu fornecedor de e-mail.

Tipo	Nome	Para quê	O que acontece se se esquecer
A e AAAA	`@`	o seu website	website inacessível
A, AAAA ou CNAME	`www`	o seu website com www	`www.` não funciona
A	`mail` (ou o nome utilizado pelo seu fornecedor)	o seu servidor de e-mail	o programa de e-mail não encontra o servidor; o MX para `mail` não funciona
MX	`@`	e-mail recebido	não recebe e-mail
TXT	`@`	SPF e códigos de verificação	e-mail mais frequentemente em spam; serviços perdem a sua verificação
TXT ou CNAME	`<selector>._domainkey`	DKIM	o DKIM falha, e-mail mais frequentemente em spam ou recusado
TXT	`_dmarc`	DMARC	deixa de haver política DMARC
CNAME	`autodiscover`	configurações do Outlook (Microsoft 365)	o Outlook não encontra as configurações
SRV, CAA	diversos	telefonia, Teams, certificados	o serviço não funciona, ou o certificado é recusado
A ou CNAME	cada subdomínio (`shop`, `cloud`, `test`)	subdomínios	subdomínio inacessível

Tenha atenção aos subdomínios que criou no seu painel de alojamento. No DNS do seu alojamento web, estes acabavam frequentemente automaticamente na zona, ou funcionavam através de um wildcard (*). Num fornecedor externo, tem de os criar você mesmo, ou definir um wildcard por sua conta (lição 3.3). Se criar mais tarde um novo subdomínio no seu painel de alojamento, adicione-o também no fornecedor de DNS.

E a chave DKIM do seu alojamento web: esta está na zona do seu alojamento web, por exemplo como x._domainkey. Copie o nome e o valor completo para o novo fornecedor. Um erro comum é o valor ser cortado durante a cópia ou surgirem espaços no meio.

O proxy: laranja ou cinzento

O Cloudflare e serviços semelhantes têm, para além do DNS, um proxy. No Cloudflare, isto é representado por uma nuvem junto a cada registo A, AAAA e CNAME:

Laranja (proxied): o DNS não devolve o endereço IP do seu servidor, mas sim um endereço do Cloudflare. Os visitantes vão primeiro ao Cloudflare, que depois encaminha para o seu servidor. Isto só funciona para websites (http e https).
Cinzento (DNS only): o DNS devolve simplesmente o endereço IP real. O Cloudflare faz então apenas DNS.

Consequências:

O e-mail não passa pelo proxy. Configure o registo de mail e tudo o que o seu programa de e-mail ou outros servidores de e-mail utilizam como cinzento. Se mail estiver laranja, o seu MX aponta para um endereço do Cloudflare que não aceita e-mail.
Também o FTP, SSH e outro tráfego que não seja web não passa pelo proxy. Utilize para isso um nome com nuvem cinzenta, ou o nome do servidor do seu alojamento web.
Certificados. Com a opção laranja, um emissor de certificados como o Let's Encrypt não vê o seu servidor diretamente. O pedido automático de um certificado no seu alojamento web pode então falhar. Coloque o proxy temporariamente em cinzento até o seu alojamento web ter o certificado, ou utilize um método que funcione através de DNS.
Modo SSL. No Cloudflare, defina o modo SSL para Full (strict) se o seu servidor tiver um certificado válido. No modo "Flexible", o tráfego entre o Cloudflare e o seu servidor não é encriptado, e esse modo provoca ainda frequentemente um ciclo infinito de redirecionamento em websites que já redirecionam por si para https.

CNAME no domínio raiz (apex)?

Um CNAME normal no @ não é possível (lição 3.2). Alguns fornecedores de DNS oferecem uma solução para isto, com nomes como CNAME flattening, ALIAS ou ANAME. Insere então um nome para @, e o fornecedor de DNS procura automaticamente o endereço IP correspondente e devolve-o como registo A ou AAAA. Para o mundo exterior, surge simplesmente um registo A.

Útil quando uma plataforma só lhe dá um nome. Mas não é DNS padrão: se mudar para um fornecedor que não o suporte, terá de voltar a criar um registo A com um endereço IP.

Reconhecer problemas

"Alterei um registo e não acontece nada." Verifique que servidores de nomes o seu domínio utiliza (lição 8.2). Se estiverem no fornecedor externo, altere o registo lá.
O website funciona, o e-mail não. Falta o MX, falta o registo A para mail, ou mail está laranja?
O e-mail chega, mas mais frequentemente em spam. Registo DKIM esquecido ou cortado, ou o SPF não foi copiado.
Erro de certificado ou ciclo de redirecionamento. Proxy ativo com modo SSL Flexible, ou o seu alojamento web não conseguiu pedir um certificado.

Na prática: como é num painel

No painel de exemplo O meu WebOké, vê no separador DNS, na parte superior, que servidores de nomes o seu domínio utiliza. Se estiverem lá servidores de nomes externos, as alterações em O meu WebOké ou no DirectAdmin não têm efeito. Os valores de que precisa no fornecedor externo (endereço IP, nome do servidor para o MX, chave DKIM em x._domainkey) encontra-os em Administração de DNS do DirectAdmin ou no e-mail de boas-vindas do seu pacote. Os servidores de nomes alteram-se na página do domínio, no cartão Servidores de nomes.

Noutros painéis, como cPanel, Plesk ou o ecrã de DNS do seu registrar, verá os mesmos registos. No fornecedor externo, os botões têm nomes diferentes, mas preenche os mesmos campos: nome, tipo, valor, TTL e, no Cloudflare, o modo do proxy.

Resumo

Quem opera os servidores de nomes gere o DNS. Os registos no fornecedor anterior deixam de contar.
Prepare primeiro todos os registos no novo fornecedor e compare com um resumo da sua zona antiga; só depois troque os servidores de nomes.
Não se esqueça de: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, verificações e subdomínios.
O e-mail e outro tráfego que não seja web não passam por um proxy: coloque esses registos em "DNS only" (cinzento).
Com um proxy, utilize o modo SSL Full (strict). O CNAME flattening só funciona em fornecedores que o disponibilizem.

Quiz

Exercício

Exercício Z7.5: Reconhecer DNS externo.

Procure os servidores de nomes de cloudflare.com. Em que domínio terminam?
Procure os registos A de cloudflare.com. Copie um registo A. São endereços do próprio Cloudflare: é assim que funciona um proxy.
Escolha um domínio que conheça (pode ser o seu próprio domínio). Procure os servidores de nomes e preencha o nome de domínio e os servidores de nomes. Pelos nomes dos servidores de nomes, consegue identificar em que fornecedor o DNS é gerido.

A verificação consulta os registos em tempo real no momento da entrega.

Para saber mais

Estas páginas descrevem os passos nos painéis da WebOké (DirectAdmin e O meu WebOké). Noutros painéis, o funcionamento é semelhante.

Cookies na WebOké

Definições de cookies

Necessários

Marketing