Usługa DNS u innego dostawcy, na przykład Cloudflare

Moduł 7: Łączenie usług zewnętrznych · Czas czytania: 9 min

Cel lekcji: Po tej lekcji będą Państwo potrafili przenieść DNS swojej domeny do zewnętrznego dostawcy DNS, będą Państwo wiedzieć, które rekordy należy zabrać ze sobą i jak postępować z proxy.

Pojęcia kluczowe: zewnętrzne serwery nazw, przejęcie strefy, rekordy, które muszą zostać przeniesione (A, AAAA, MX, SPF, DKIM, DMARC, subdomeny, weryfikacje), proxy (pomarańczowa i szara chmurka), certyfikat za proxy (Full strict), CNAME flattening

Dlaczego DNS gdzie indziej

Mogą Państwo mieć swoją stronę internetową u jednego dostawcy, pocztę e-mail u drugiego, a DNS u trzeciego. Ludzie wybierają osobnego dostawcę DNS na przykład dlatego, że chcą mieć wszystkie swoje domeny w jednym miejscu, ze względu na dodatkowe funkcje (takie jak proxy, które powstrzymuje ataki) lub dlatego, że tak konfiguruje to ich twórca strony. Cloudflare jest tego znanym przykładem, ale działa to tak samo u każdego zewnętrznego dostawcy DNS.

Zasadę znają Państwo z lekcji 2.1: kto obsługuje serwery nazw, ten zarządza DNS. Jeśli ustawią Państwo serwery nazw na innego dostawcę, rekordy u poprzedniego administratora DNS przestają się liczyć. Nawet jeśli Państwa host lub dostawca poczty mają tam wciąż wszystko ładnie skonfigurowane.

Kolejność: najpierw przygotować, potem przełączyć

1. Przygotują Państwo zestawienie swojej obecnej strefy. Wyeksportują ją Państwo, zrobią kopię zapasową w panelu lub zrzuty ekranu wszystkich rekordów (lekcja 6.3).
2. Przygotują Państwo wszystkie rekordy u nowego dostawcy. Wielu dostawców automatycznie odczytuje Państwa istniejące rekordy. Jest to wygodne, ale niepełne: znajdują oni tylko nazwy, które potrafią odgadnąć. Rekordy takie jak x._domainkey, _dmarc, weryfikacyjne rekordy TXT na subdomenach lub autodiscover są często pomijane. Dlatego warto porównać je z zestawieniem z kroku 1.
3. Ewentualnie wcześniej obniżą Państwo TTL u obecnego dostawcy (lekcja 6.3).
4. Zmienią Państwo serwery nazw u swojego rejestratora na serwery nazw podane przez nowego dostawcę.
5. Po przełączeniu sprawdzą Państwo, czy strona internetowa, poczta e-mail i certyfikat działają oraz czy nowy dostawca widzi serwery nazw jako aktywne.

Niektóre rejestry, takie jak DENIC dla .de, sprawdzają przy zmianie serwerów nazw, czy Państwa domena jest już przygotowana na nowych serwerach nazw. Jeśli strefa jeszcze tam nie istnieje, odrzucają zmianę. Także dlatego: najpierw przygotować.

Które rekordy muszą zostać przeniesione?

Lista kontrolna dla domeny ze stroną internetową i pocztą e-mail. Wartości proszę przejąć od swojego hosta i dostawcy poczty.

Proszę zwrócić uwagę na subdomeny utworzone w panelu hostingowym. W DNS Państwa hosta często pojawiały się one automatycznie w strefie lub działały dzięki wildcardowi (*). U zewnętrznego dostawcy muszą je Państwo utworzyć samodzielnie lub samodzielnie ustawić wildcard (lekcja 3.3). Jeśli później utworzą Państwo nową subdomenę w panelu hostingowym, proszę ją również dodać u dostawcy DNS.

I klucz DKIM Państwa hosta: znajduje się on w strefie u Państwa hosta, na przykład jako x._domainkey. Proszę skopiować nazwę i całą wartość do nowego dostawcy. Częstym błędem jest to, że wartość zostaje po drodze ucięta lub pojawiają się w niej spacje.

Proxy: pomarańczowe czy szare

Cloudflare i podobne usługi mają obok DNS także proxy. W Cloudflare widoczne jest to jako chmurka przy każdym rekordzie A, AAAA i CNAME:

• Pomarańczowa (proxied): DNS nie zwraca adresu IP Państwa serwera, lecz adres Cloudflare. Odwiedzający trafiają najpierw do Cloudflare, a Cloudflare przekierowuje ich dalej do Państwa serwera. Działa to wyłącznie dla stron internetowych (http i https).
• Szara (DNS only): DNS zwraca po prostu prawdziwy adres IP. Cloudflare zajmuje się wtedy jedynie DNS.

Konsekwencje:

• Poczta nie przechodzi przez proxy. Rekord dla mail i wszystko, czego używa Państwa program pocztowy lub inne serwery pocztowe, proszę ustawić na szary. Jeśli mail jest ustawione na pomarańczowy, Państwa MX wskazuje na adres Cloudflare, który nie przyjmuje poczty.
• Również FTP, SSH i inny ruch niebędący ruchem webowym nie przechodzi przez proxy. Proszę użyć do tego nazwy z szarą chmurką lub nazwy serwera swojego hosta.
• Certyfikaty. Przy pomarańczowym ustawieniu wystawca certyfikatów, taki jak Let's Encrypt, nie widzi Państwa serwera bezpośrednio. Automatyczne zamawianie certyfikatu u Państwa hosta może się wtedy nie powieść. Proszę tymczasowo ustawić proxy na szary, dopóki host nie uzyska certyfikatu, albo użyć metody działającej przez DNS.
• Tryb SSL. W Cloudflare proszę ustawić tryb SSL na Full (strict), jeśli Państwa serwer ma ważny certyfikat. W trybie „Flexible” ruch między Cloudflare a Państwa serwerem nie jest szyfrowany, a ten tryb dodatkowo często powoduje nieskończoną pętlę przekierowań na stronach, które same już kierują na https.

CNAME na gołej domenie?

Zwykły CNAME na @ jest niemożliwy (lekcja 3.2). Niektórzy dostawcy DNS oferują na to rozwiązanie, pod nazwami takimi jak CNAME flattening, ALIAS czy ANAME. Wprowadzają Państwo wtedy nazwę dla @, a dostawca DNS sam wyszukuje odpowiedni adres IP i zwraca go jako rekord A lub AAAA. Dla świata zewnętrznego widoczny jest więc zwykły rekord A.

Jest to przydatne, gdy platforma podaje Państwu tylko nazwę. Ale nie jest to standardowy DNS: jeśli przeniosą się Państwo do dostawcy, który tego nie obsługuje, trzeba będzie ponownie utworzyć rekord A z adresem IP.

Rozpoznawanie problemów

• „Zmieniłem/zmieniłam rekord i nic się nie dzieje.” Proszę sprawdzić, jakich serwerów nazw używa Państwa domena (lekcja 8.2). Jeśli są one u zewnętrznego dostawcy, proszę zmienić rekord właśnie tam.
• Strona działa, poczta nie. Czy brakuje MX, brakuje rekordu A dla mail, albo mail jest ustawione na pomarańczowy?
• Poczta dociera, ale częściej trafia do spamu. Zapomniano o rekordzie DKIM lub został on ucięty, albo SPF nie zostało przeniesione.
• Błąd certyfikatu lub pętla przekierowań. Proxy włączone z trybem SSL Flexible, albo host nie mógł zamówić certyfikatu.

W praktyce: tak wygląda to w panelu

W przykładowym panelu Moje WebOké na karcie DNS u góry widzą Państwo, jakich serwerów nazw używa Państwa domena. Jeśli są tam zewnętrzne serwery nazw, zmiany w Moje WebOké lub DirectAdmin nie przynoszą efektu. Wartości potrzebne u zewnętrznego dostawcy (adres IP, nazwa serwera dla MX, klucz DKIM przy x._domainkey) znajdą Państwo w Administracja DNS w DirectAdmin lub w mailu powitalnym swojego pakietu. Serwery nazw zmieniają Państwo na stronie domeny przy karcie Serwery nazw.

W innych panelach, takich jak cPanel, Plesk czy ekran DNS u Państwa rejestratora, widzą Państwo te same rekordy. U zewnętrznego dostawcy przyciski nazywają się inaczej, ale wypełniają Państwo te same pola: nazwa, typ, wartość, TTL, a w Cloudflare także tryb proxy.

Podsumowanie

• Kto obsługuje serwery nazw, ten zarządza DNS. Rekordy u poprzedniego dostawcy przestają się liczyć.
• Najpierw proszę przygotować wszystkie rekordy u nowego dostawcy i porównać je z zestawieniem starej strefy; dopiero potem przełączyć serwery nazw.
• Proszę nie zapomnieć o: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, weryfikacjach i subdomenach.
• Poczta i inny ruch niebędący ruchem webowym nie przechodzą przez proxy: proszę ustawić te rekordy na „DNS only” (szary).
• Przy proxy proszę używać trybu SSL Full (strict). CNAME flattening działa tylko u dostawców, którzy je oferują.

Quiz

Zadanie

Zadanie Z7.5: Rozpoznawanie zewnętrznego DNS.

1. Proszę znaleźć serwery nazw domeny cloudflare.com. Na jakiej domenie się kończą?
2. Proszę znaleźć rekordy A domeny cloudflare.com. Proszę przepisać jeden rekord A. Są to adresy samej Cloudflare: tak działa proxy.
3. Proszę wybrać znaną sobie domenę (może to być Państwa własna domena). Proszę znaleźć jej serwery nazw i wpisać nazwę domeny oraz serwery nazw. Po nazwach serwerów nazw widać, u którego dostawcy zarządzany jest DNS.

Weryfikacja na żywo odpytuje rekordy w momencie przesłania zadania.

Dalsza lektura

Te strony opisują kroki w panelach WebOké (DirectAdmin i Moje WebOké). W innych panelach działa to w ten sam sposób.

• Korzystanie z własnych lub zewnętrznych serwerów nazw (np. Cloudflare) dla Państwa domeny
• Konfiguracja DKIM, gdy DNS działa na zewnętrznym serwerze
• Instrukcja DirectAdmin 5.12: DNS w Mój WebOké i przy zewnętrznych serwerach nazw, takich jak Cloudflare
• Podręcznik WebOké 5.3: Zmiana serwerów nazw
• Instrukcja DirectAdmin 6.6: Let's Encrypt nie działa: przyczyny i rozwiązania