Vaša DNS u iného poskytovateľa, napríklad Cloudflare

Modul 7: Prepojenie externých služieb · Čas čítania: 9 min

Cieľ lekcie: Po tejto lekcii dokážete preniesť DNS svojej domény k externému poskytovateľovi DNS, budete vedieť, ktoré záznamy pri tom treba prebrať, a ako zaobchádzať s proxy.

Kľúčové pojmy: externé menné servery, prevzatie zóny, záznamy, ktoré treba prebrať (A, AAAA, MX, SPF, DKIM, DMARC, subdomény, verifikácie), proxy (oranžový a sivý mráčik), certifikát za proxy (Full strict), CNAME flattening

Prečo mať DNS inde

Môžete mať svoj web u jedného poskytovateľa, e-mail u druhého a DNS u tretieho. Ľudia si volia samostatného poskytovateľa DNS napríklad preto, že chcú mať všetky svoje domény na jednom mieste, kvôli dodatočným funkciám (napríklad proxy, ktorá zastavuje útoky), alebo preto, že to tak nastavil ich tvorca webu. Známym príkladom je Cloudflare, no princíp funguje rovnako pri každom externom poskytovateľovi DNS.

Princíp poznáte z lekcie 2.1: kto prevádzkuje menné servery, ten spravuje DNS. Ak nastavíte menné servery na iného poskytovateľa, záznamy u vášho predchádzajúceho správcu DNS prestanú platiť. Aj keď má váš webhosting alebo poskytovateľ e-mailu stále všetko úhľadne nastavené.

Postup: najprv pripraviť, potom prepnúť

1. Vytvorte si prehľad svojej aktuálnej zóny. Exportujte ju, vytvorte zálohu vo svojom paneli alebo si urobte snímky obrazovky všetkých záznamov (lekcia 6.3).
2. Pripravte všetky záznamy u nového poskytovateľa. Mnohí poskytovatelia automaticky načítajú vaše existujúce záznamy. To je síce praktické, no nie úplné: nájdu iba názvy, ktoré dokážu uhádnuť. Záznamy ako x._domainkey, _dmarc, overovacie TXT záznamy na subdoménach alebo autodiscover sa často vynechajú. Preto si to porovnajte s prehľadom z kroku 1.
3. Prípadne vopred znížte TTL u svojho aktuálneho poskytovateľa (lekcia 6.3).
4. Zmeňte menné servery u svojho registrátora na menné servery, ktoré uvádza nový poskytovateľ.
5. Po prepnutí skontrolujte, či fungujú web, e-mail a certifikát, a či nový poskytovateľ vidí menné servery ako aktívne.

Niektoré registre, napríklad DENIC pre .de, pri zmene menných serverov overujú, či je vaša doména už pripravená na nových menných serveroch. Ak zóna ešte nie je pripravená, zmenu odmietnu. Aj preto: najprv pripraviť.

Ktoré záznamy treba prebrať?

Kontrolný zoznam pre doménu s webom a e-mailom. Hodnoty prevezmite od svojho webhostingu a poskytovateľa e-mailu.

Dajte si pozor na subdomény, ktoré ste vytvorili vo svojom hostingovom paneli. Pri DNS vášho webhostingu sa často objavili v zóne automaticky, alebo fungovali cez zástupný znak (wildcard, *). U externého poskytovateľa ich musíte vytvoriť sami, alebo sami nastaviť wildcard (lekcia 3.3). Ak neskôr vytvoríte novú subdoménu vo svojom hostingovom paneli, pridajte ju aj u poskytovateľa DNS.

A DKIM kľúč vášho webhostingu: ten sa nachádza v zóne u vášho webhostingu, napríklad ako x._domainkey. Skopírujte názov aj celú hodnotu k novému poskytovateľovi. Častou chybou je, že sa hodnota pri kopírovaní skráti alebo do nej vniknú medzery.

Proxy: oranžová alebo sivá

Cloudflare a podobné služby majú okrem DNS aj proxy. V Cloudflare to vidíte ako mráčik za každým záznamom A, AAAA a CNAME:

• Oranžová (proxied): DNS nevracia IP adresu vášho servera, ale adresu Cloudflare. Návštevníci idú najprv na Cloudflare, a Cloudflare to presmeruje na váš server. To funguje iba pre webové stránky (http a https).
• Sivá (DNS only): DNS jednoducho vracia skutočnú IP adresu. Cloudflare vtedy zabezpečuje iba DNS.

Dôsledky:

• Pošta neprechádza cez proxy. Nastavte záznam pre mail a všetko, čo používa váš poštový program alebo iné poštové servery, na sivú. Ak je mail nastavený na oranžovú, váš MX smeruje na adresu Cloudflare, ktorá neprijíma poštu.
• Aj FTP, SSH a iná nie webová prevádzka neprechádza cez proxy. Použite preň názov so sivým mráčikom, alebo názov servera vášho webhostingu.
• Certifikáty. Pri oranžovej nevidí vydavateľ certifikátu, napríklad Let's Encrypt, váš server priamo. Automatické vyžiadanie certifikátu u vášho webhostingu vtedy môže zlyhať. Nastavte proxy dočasne na sivú, kým webhosting nezíska certifikát, alebo použite metódu, ktorá funguje cez DNS.
• Režim SSL. V Cloudflare nastavte režim SSL na Full (strict), ak má váš server platný certifikát. V režime "Flexible" nie je prenos medzi Cloudflare a vaším serverom šifrovaný, a navyše tento režim často spôsobuje nekonečnú presmerovaciu slučku pri weboch, ktoré samy presmerúvajú na https.

CNAME na holej doméne?

Obyčajný CNAME na @ nie je možný (lekcia 3.2). Niektorí poskytovatelia DNS na to ponúkajú riešenie, pod názvami ako CNAME flattening, ALIAS alebo ANAME. Vtedy zadáte názov pre @, a poskytovateľ DNS si sám vyhľadá príslušnú IP adresu a vráti ju ako záznam A alebo AAAA. Navonok teda vidno jednoducho obyčajný záznam A.

Je to praktické, ak vám platforma dáva iba názov. Nejde však o štandardnú DNS: ak sa presuniete k poskytovateľovi, ktorý to nepozná, budete musieť znova vytvoriť záznam A s IP adresou.

Rozpoznávanie problémov

• "Zmenil som záznam a nič sa nedeje." Pozrite sa, ktoré menné servery vaša doména používa (lekcia 8.2). Ak sú u externého poskytovateľa, zmeňte záznam tam.
• Web funguje, pošta nie. Chýba MX, chýba záznam A pre mail, alebo je mail nastavený na oranžovú?
• Pošta dochádza, ale častejšie v spame. Zabudnutý alebo skrátený DKIM záznam, alebo neprevzaté SPF.
• Chyba certifikátu alebo presmerovacia slučka. Proxy zapnutá s režimom SSL Flexible, alebo váš webhosting nedokázal vyžiadať certifikát.

V praxi: ako to vyzerá v paneli

Vo vzorovom paneli Môj WebOké vidíte na karte DNS hore, ktoré menné servery vaša doména používa. Ak sú tam externé menné servery, zmeny v Môj WebOké alebo DirectAdmin nebudú mať žiadny efekt. Hodnoty, ktoré potrebujete u externého poskytovateľa (IP adresa, názov servera pre MX, DKIM kľúč pri x._domainkey), nájdete v DNS správa v DirectAdmin alebo vo uvítacom e-maile k vášmu balíku. Menné servery meníte na stránke domény pri karte Menné servery.

V iných paneloch, ako cPanel, Plesk alebo DNS obrazovka vášho registrátora, vidíte rovnaké záznamy. U externého poskytovateľa sa tlačidlá volajú inak, ale vypĺňate rovnaké polia: názov, typ, hodnota, TTL, a v Cloudflare navyše režim proxy.

Zhrnutie

• Kto prevádzkuje menné servery, ten spravuje DNS. Záznamy u predchádzajúceho poskytovateľa prestávajú platiť.
• Najprv pripravte všetky záznamy u nového poskytovateľa a porovnajte ich s prehľadom starej zóny, až potom zmeňte menné servery.
• Nezabudnite na: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, verifikácie a subdomény.
• Pošta a iná nie webová prevádzka neprechádza cez proxy: nastavte tieto záznamy na "DNS only" (sivá).
• Pri proxy použite režim SSL Full (strict). CNAME flattening funguje iba u poskytovateľov, ktorí ho ponúkajú.

Kvíz

Úloha

Úloha Z7.5: Rozpoznanie externej DNS.

1. Vyhľadajte menné servery pre cloudflare.com. Na akej doméne končia?
2. Vyhľadajte záznamy A pre cloudflare.com. Prepíšte jeden záznam A. Sú to adresy samotného Cloudflare: tak funguje proxy.
3. Vyberte doménu, ktorú poznáte (môže to byť aj vaša vlastná doména). Vyhľadajte jej menné servery a zadajte názov domény aj menné servery. Podľa názvov menných serverov zistíte, u ktorého poskytovateľa sa spravuje DNS.

Kontrola si záznamy pri odovzdaní vyžiada naživo.

Ďalšie čítanie

Tieto stránky popisujú kroky v paneloch WebOké (DirectAdmin a Môj WebOké). V iných paneloch to funguje rovnakým spôsobom.

• Použiť vlastné alebo externé nameservery (napríklad Cloudflare) pre váš domén
• Nastavenie DKIM, keď DNS beží na externom serveri
• Návod na DirectAdmin 5.12: DNS v Môj WebOké a u externých nameserverov ako Cloudflare
• Príručka WebOké 5.3: Zmeniť menné servery
• Návod na DirectAdmin 6.6: Let's Encrypt nefunguje: príčiny a riešenia