Vaš DNS pri drugem ponudniku, kot je Cloudflare

Modul 7: Povezovanje zunanjih storitev · Čas branja: 9 minut

Cilj lekcije: Po tej lekciji boste znali prenesti DNS Vaše domene k zunanjemu ponudniku DNS, vedeli boste, katere zapise morate prenesti, in kako ravnati s proxyjem.

Ključni pojmi: zunanji imenski strežniki, prevzem cone, zapisi, ki jih je treba prenesti (A, AAAA, MX, SPF, DKIM, DMARC, poddomene, preverjanja), proxy (oranžni in sivi oblaček), certifikat za proxyjem (Full strict), CNAME flattening

Zakaj Vaš DNS drugje

Spletno stran imate lahko pri enem ponudniku, e-pošto pri drugem, DNS pa pri tretjem. Ljudje izberejo ločenega ponudnika DNS na primer zato, ker želijo imeti vse svoje domene na enem mestu, zaradi dodatnih funkcij (kot je proxy, ki ustavlja napade), ali ker tako določi njihov izdelovalec spletnih strani. Cloudflare je znan primer, vendar deluje enako pri vsakem zunanjem ponudniku DNS.

Načelo poznate iz lekcije 2.1: kdor upravlja imenske strežnike, upravlja DNS. Če imenske strežnike preusmerite k drugemu ponudniku, zapisi pri Vašem prejšnjem upravljavcu DNS ne štejejo več. Tudi če ima Vaš gostitelj ali ponudnik e-pošte tam še vedno vse urejeno.

Vrstni red: najprej pripravite, nato zamenjajte

1. Naredite pregled Vaše trenutne cone. Izvozite jo, naredite varnostno kopijo v nadzorni plošči ali naredite posnetke zaslona vseh zapisov (lekcija 6.3).
2. Pripravite vse zapise pri novem ponudniku. Mnogi ponudniki samodejno uvozijo Vaše obstoječe zapise. To je priročno, vendar ni popolno: najdejo le imena, ki jih lahko uganejo. Zapisi, kot so x._domainkey, _dmarc, preverjalni TXT zapisi na poddomenah ali autodiscover, so pogosto spregledani. Zato primerjajte s pregledom iz 1. koraka.
3. Po potrebi vnaprej znižajte TTL pri Vašem trenutnem ponudniku (lekcija 6.3).
4. Spremenite imenske strežnike pri Vašem registrarju na imenske strežnike, ki jih navede novi ponudnik.
5. Po zamenjavi preverite, ali spletna stran, e-pošta in certifikat delujejo, in ali novi ponudnik vidi imenske strežnike kot aktivne.

Nekateri registri, kot je DENIC za .de, ob spremembi imenskega strežnika preverijo, ali je Vaša domena že pripravljena na novih imenskih strežnikih. Če cona še ni pripravljena, spremembo zavrnejo. Tudi zato: najprej pripravite.

Kateri zapisi morajo biti preneseni?

Kontrolni seznam za domeno s spletno stranjo in e-pošto. Vrednosti prevzemite od Vašega gostitelja in ponudnika e-pošte.

Bodite pozorni na poddomene, ki ste jih ustvarili v nadzorni plošči gostovanja. Pri DNS Vašega gostitelja so se te pogosto samodejno znašle v coni, ali so delovale prek nadomestnega znaka (wildcard, *). Pri zunanjem ponudniku jih morate ustvariti sami, ali sami nastaviti nadomestni znak (lekcija 3.3). Če pozneje ustvarite novo poddomeno v nadzorni plošči gostovanja, jo nastavite tudi pri ponudniku DNS.

In DKIM ključ Vašega gostitelja: ta je v coni pri Vašem gostitelju, na primer kot x._domainkey. Kopirajte ime in celotno vrednost k novemu ponudniku. Pogosta napaka je, da se vrednost med kopiranjem odreže ali da se vanjo vrinejo presledki.

Proxy: oranžen ali siv

Cloudflare in podobne storitve imajo poleg DNS tudi proxy. Pri Cloudflare to vidite kot oblaček za vsakim zapisom A, AAAA in CNAME:

• Oranžen (proxied): DNS ne vrne IP naslova Vašega strežnika, ampak naslov Cloudflare. Obiskovalci gredo najprej na Cloudflare, Cloudflare pa jih posreduje na Vaš strežnik. To deluje samo za spletne strani (http in https).
• Siv (DNS only): DNS vrne preprosto pravi IP naslov. Cloudflare takrat izvaja samo DNS.

Posledice:

• E-pošta ne gre prek proxyja. Zapis za mail in vse, kar uporabljajo Vaš poštni program ali drugi poštni strežniki, nastavite na sivo. Če je mail nastavljen na oranžno, Vaš MX kaže na naslov Cloudflare, ki ne sprejema e-pošte.
• Tudi FTP, SSH in drug promet, ki ni spletni, ne gre prek proxyja. Za to uporabite ime s sivim oblačkom, ali ime strežnika Vašega gostitelja.
• Certifikati. Pri oranžnem izdajatelj certifikatov, kot je Let's Encrypt, ne vidi Vašega strežnika neposredno. Samodejno pridobivanje certifikata pri Vašem gostitelju lahko takrat spodleti. Proxy začasno nastavite na sivo, dokler gostitelj ne pridobi certifikata, ali uporabite metodo, ki deluje prek DNS.
• Način SSL. Pri Cloudflare nastavite način SSL na Full (strict), če ima Vaš strežnik veljaven certifikat. V načinu "Flexible" promet med Cloudflare in Vašim strežnikom ni šifriran, poleg tega ta način pogosto povzroči neskončno zanko preusmeritev pri spletnih straneh, ki same že preusmerjajo na https.

CNAME na goli domeni?

Navaden CNAME na @ ni mogoč (lekcija 3.2). Nekateri ponudniki DNS zato ponujajo rešitev pod imeni, kot so CNAME flattening, ALIAS ali ANAME. Vnesete ime za @, ponudnik DNS pa sam poišče pripadajoči IP naslov in ga vrne kot zapis A ali AAAA. Za zunanji svet torej preprosto obstaja navaden zapis A.

Priročno, kadar Vam platforma da samo ime. Vendar to ni standardni DNS: če se preselite k ponudniku, ki tega ne pozna, morate znova ustvariti zapis A z IP naslovom.

Prepoznavanje težav

• "Spremenil sem zapis in nič se ne zgodi." Preverite, katere imenske strežnike uporablja Vaša domena (lekcija 8.2). Če so pri zunanjem ponudniku, spremenite zapis tam.
• Spletna stran deluje, e-pošta ne. Manjka MX, manjka zapis A za mail, ali je mail nastavljen na oranžno?
• E-pošta prispe, vendar pogosteje v neželeni pošti. Pozabljen ali odrezan zapis DKIM, ali SPF ni bil prenesen.
• Napaka certifikata ali zanka preusmeritev. Proxy vklopljen z načinom SSL Flexible, ali Vaš gostitelj ni mogel pridobiti certifikata.

V praksi: tako je videti v nadzorni plošči

V primeru nadzorne plošče Moj WebOké na zavihku DNS zgoraj vidite, katere imenske strežnike uporablja Vaša domena. Če so tam navedeni zunanji imenski strežniki, spremembe v Moj WebOké ali DirectAdmin nimajo učinka. Vrednosti, ki jih potrebujete pri zunanjem ponudniku (IP naslov, ime strežnika za MX, ključ DKIM pri x._domainkey), preberete v Upravljanje DNS v DirectAdmin ali v uvodnem e-sporočilu svojega paketa. Imenske strežnike spremenite na strani domene pri kartici Imenski strežniki.

V drugih nadzornih ploščah, kot sta cPanel ali Plesk, ali na zaslonu DNS Vašega registrarja, vidite iste zapise. Pri zunanjem ponudniku se gumbi imenujejo drugače, vendar izpolnite ista polja: ime, tip, vrednost, TTL in pri Cloudflare način proxyja.

Povzetek

• Kdor upravlja imenske strežnike, upravlja DNS. Zapisi pri prejšnjem ponudniku ne štejejo več.
• Najprej pripravite vse zapise pri novem ponudniku in jih primerjajte s pregledom stare cone, nato zamenjajte imenske strežnike.
• Ne pozabite: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, preverjanja in poddomene.
• E-pošta in drug promet, ki ni spletni, ne gresta prek proxyja: te zapise nastavite na "DNS only" (sivo).
• Pri proxyju uporabite način SSL Full (strict). CNAME flattening deluje samo pri ponudnikih, ki ga ponujajo.

Kviz

Naloga

Naloga Z7.5: Prepoznavanje zunanjega DNS.

1. Poiščite imenske strežnike za cloudflare.com. Na kateri domeni se končujejo?
2. Poiščite zapise A za cloudflare.com. Prepišite en zapis A. To so naslovi samega Cloudflare: tako deluje proxy.
3. Izberite domeno, ki jo poznate (lahko tudi svojo). Poiščite imenske strežnike in vnesite ime domene ter imenske strežnike. Po imenih imenskih strežnikov vidite, pri katerem ponudniku se upravlja DNS.

Preverjanje ob oddaji v živo poizveduje po zapisih.

Za nadaljnje branje

Te strani opisujejo korake v nadzornih ploščah WebOké (DirectAdmin in Moj WebOké). V drugih nadzornih ploščah deluje na enak način.

• Uporaba lastnih ali zunanjih imenskih strežnikov (nameserver, npr. Cloudflare) za Vašo domeno
• Nastavitev DKIM, ko DNS teče prek zunanjega strežnika
• Priročnik DirectAdmin 5.12: DNS v Moj WebOké in pri zunanjih imenskih strežnikih, kot je Cloudflare
• Priročnik WebOké 5.3: Spreminjanje imenskih strežnikov
• Priročnik DirectAdmin 6.6: Let's Encrypt ne deluje: vzroki in rešitve