Jūsu DNS pie cita pakalpojumu sniedzēja, piemēram, Cloudflare

Modulis 7: Ārējo pakalpojumu pievienošana · Lasīšanas laiks: 9 minūtes

Mērķis: Pēc šīs nodarbības Jūs varēsiet pārcelt sava domēna DNS pie ārēja DNS pakalpojumu sniedzēja, zināsiet, kurus ierakstus pārņemt un kā rīkoties ar proxy.

Galvenie jēdzieni: ārējie vārdu serveri, zonas pārņemšana, ieraksti, kas jāpārņem (A, AAAA, MX, SPF, DKIM, DMARC, apakšdomēni, verifikācijas), proxy (oranžs un pelēks mākonis), sertifikāts aiz proxy (Full strict), CNAME flattening

Kāpēc DNS turēt citur

Jūsu vietne var atrasties pie viena pakalpojumu sniedzēja, e-pasts pie otra, bet DNS pie trešā. Cilvēki izvēlas atsevišķu DNS pakalpojumu sniedzēju, piemēram, tāpēc, ka vēlas visus savus domēnus turēt vienuviet, lai iegūtu papildu funkcijas (piemēram, proxy, kas aptur uzbrukumus), vai tāpēc, ka tā to iekārtojis Jūsu vietnes izstrādātājs. Cloudflare ir pazīstams šāda pakalpojumu sniedzēja piemērs, taču princips ir vienāds pie jebkura ārēja DNS pakalpojumu sniedzēja.

Jūs jau zināt principu no 2.1. nodarbības: kas vada vārdu serverus, tas pārvalda DNS. Ja Jūs iestatāt vārdu serverus uz citu pakalpojumu sniedzēju, ieraksti pie Jūsu iepriekšējā DNS pārvaldītāja vairs neskaitās. Pat ja Jūsu hostinga vai e-pasta pakalpojumu sniedzējs tur joprojām visu ir kārtīgi ievietojis.

Secība: vispirms sagatavot, tad pārslēgt

1. Izveidojiet pārskatu par savu pašreizējo zonu. Eksportējiet to, izveidojiet dublējumkopiju panelī vai uzņemiet ekrānuzņēmumus ar visiem ierakstiem (6.3. nodarbība).
2. Sagatavojiet visus ierakstus pie jaunā pakalpojumu sniedzēja. Daudzi pakalpojumu sniedzēji automātiski nolasa Jūsu esošos ierakstus. Tas ir ērti, bet nav pilnīgi: tie atrod tikai tos nosaukumus, kurus var uzminēt. Tādi ieraksti kā x._domainkey, _dmarc, verifikācijas TXT ieraksti uz apakšdomēniem vai autodiscover bieži tiek palaisti garām. Tāpēc salīdziniet ar savu 1. solī izveidoto pārskatu.
3. Ja nepieciešams, iepriekš samaziniet TTL pie sava pašreizējā pakalpojumu sniedzēja (6.3. nodarbība).
4. Mainiet vārdu serverus pie sava reģistratora uz vārdu serveriem, kurus norāda jaunais pakalpojumu sniedzējs.
5. Pēc pārslēgšanas pārbaudiet, vai darbojas vietne, e-pasts un sertifikāts, kā arī vai jaunais pakalpojumu sniedzējs redz vārdu serverus kā aktīvus.

Daži reģistri, piemēram, DENIC domēnam .de, mainot vārdu serverus, pārbauda, vai Jūsu domēns jau ir sagatavots jaunajos vārdu serveros. Ja zona tur vēl nav gatava, izmaiņas tiek noraidītas. Arī tāpēc: vispirms sagatavojiet.

Kuri ieraksti jāpārņem?

Kontrolsaraksts domēnam ar vietni un e-pastu. Pārņemiet vērtības no sava hostinga un e-pasta pakalpojumu sniedzēja.

Pievērsiet uzmanību apakšdomēniem, kurus esat izveidojis savā hostinga panelī. Jūsu hostinga uzņēmuma DNS tie bieži automātiski nonāca zonā, vai arī darbojās ar wildcard (*) palīdzību. Pie ārēja pakalpojumu sniedzēja Jums tie jāizveido pašam, vai arī pašam jāiestata wildcard (3.3. nodarbība). Ja vēlāk izveidojat jaunu apakšdomēnu savā hostinga panelī, pievienojiet to arī pie DNS pakalpojumu sniedzēja.

Un hostinga uzņēmuma DKIM atslēga: tā atrodas Jūsu hostinga uzņēmuma zonā, piemēram, kā x._domainkey. Nokopējiet nosaukumu un visu vērtību uz jauno pakalpojumu sniedzēju. Bieži pieļauta kļūda ir tāda, ka vērtība pārcelšanas laikā tiek nogriezta vai tajā ieviešas atstarpes.

Proxy: oranžs vai pelēks

Cloudflare un līdzīgiem pakalpojumiem papildus DNS ir arī proxy. Cloudflare to redzat kā mākonīti aiz katra A, AAAA un CNAME ieraksta:

• Oranžs (proxied): DNS neatgriež Jūsu servera IP adresi, bet gan Cloudflare adresi. Apmeklētāji vispirms nonāk pie Cloudflare, un Cloudflare novirza tos uz Jūsu serveri. Tas darbojas tikai vietnēm (http un https).
• Pelēks (DNS only): DNS vienkārši atgriež īsto IP adresi. Cloudflare tad veic tikai DNS funkciju.

Sekas:

• E-pasts neiet caur proxy. Iestatiet ierakstu mail un visu, ko izmanto Jūsu e-pasta programma vai citi pasta serveri, uz pelēku. Ja mail ir iestatīts uz oranžu, Jūsu MX norāda uz Cloudflare adresi, kas nepieņem e-pastu.
• Arī FTP, SSH un cita ne tīmekļa satiksme neiet caur proxy. Izmantojiet tam nosaukumu ar pelēku mākoni vai Jūsu hostinga uzņēmuma servera nosaukumu.
• Sertifikāti. Ar oranžu iestatījumu sertifikātu izdevējs, piemēram, Let's Encrypt, neredz Jūsu serveri tieši. Automātiska sertifikāta pieprasīšana pie Jūsu hostinga uzņēmuma tad var neizdoties. Uz laiku iestatiet proxy uz pelēku, līdz hostinga uzņēmums ir ieguvis sertifikātu, vai izmantojiet metodi, kas darbojas caur DNS.
• SSL režīms. Cloudflare iestatiet SSL režīmu uz Full (strict), ja Jūsu serverim ir derīgs sertifikāts. Režīmā "Flexible" satiksme starp Cloudflare un Jūsu serveri nav šifrēta, un šis režīms turklāt bieži rada bezgalīgu novirzīšanas cilpu vietnēm, kas pašas jau novirza uz https.

CNAME pamata domēnā?

Parasts CNAME ierakstā @ nav iespējams (3.2. nodarbība). Daži DNS pakalpojumu sniedzēji piedāvā risinājumu, zem tādiem nosaukumiem kā CNAME flattening, ALIAS vai ANAME. Jūs ievadāt nosaukumu ierakstam @, un DNS pakalpojumu sniedzējs pats sameklē atbilstošo IP adresi un atgriež to kā A vai AAAA ierakstu. Ārpasaulei tātad redzams vienkāršs A ieraksts.

Ērti, ja platforma Jums dod tikai nosaukumu. Taču tas nav standarta DNS: ja pārceļaties pie pakalpojumu sniedzēja, kas to neatbalsta, Jums atkal jāizveido A ieraksts ar IP adresi.

Problēmu atpazīšana

• "Es nomainīju ierakstu, un nekas nenotiek." Pārbaudiet, kādus vārdu serverus izmanto Jūsu domēns (8.2. nodarbība). Ja tie ir pie ārējā pakalpojumu sniedzēja, mainiet ierakstu tur.
• Vietne darbojas, e-pasts nē. Vai trūkst MX, vai trūkst A ieraksta ierakstam mail, vai arī mail ir iestatīts uz oranžu?
• E-pasts pienāk, bet biežāk nonāk surogātpastā. Aizmirsts vai nogriezts DKIM ieraksts, vai nepārņemts SPF.
• Sertifikāta kļūda vai novirzīšanas cilpa. Proxy ieslēgts ar SSL režīmu Flexible, vai Jūsu hostinga uzņēmums nevarēja pieprasīt sertifikātu.

Praksē: kā tas izskatās panelī

Parauga panelī Mans WebOké DNS cilnē augšpusē redzams, kādus vārdu serverus izmanto Jūsu domēns. Ja tur norādīti ārējie vārdu serveri, izmaiņām Mans WebOké vai DirectAdmin nebūs efekta. Vērtības, kas Jums nepieciešamas pie ārējā pakalpojumu sniedzēja (IP adrese, servera nosaukums MX ierakstam, DKIM atslēga ierakstā x._domainkey), varat atrast DirectAdmin sadaļā DNS Administration vai Jūsu pakalpojuma apsveikuma e-pastā. Vārdu serverus mainiet domēna lapā pie kartītes Nameservers.

Citos paneļos, piemēram, cPanel, Plesk vai Jūsu reģistratora DNS ekrānā, redzami tie paši ieraksti. Pie ārējā pakalpojumu sniedzēja pogas saucas citādi, bet aizpildāt tos pašus laukus: nosaukums, tips, vērtība, TTL, un Cloudflare gadījumā arī proxy režīmu.

Kopsavilkums

• Kas vada vārdu serverus, tas pārvalda DNS. Ieraksti pie Jūsu iepriekšējā pakalpojumu sniedzēja vairs neskaitās.
• Vispirms sagatavojiet visus ierakstus pie jaunā pakalpojumu sniedzēja un salīdziniet ar sava vecās zonas pārskatu; tikai tad mainiet vārdu serverus.
• Neaizmirstiet: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, verifikācijas un apakšdomēnus.
• E-pasts un cita ne tīmekļa satiksme neiet caur proxy: iestatiet šos ierakstus uz "DNS only" (pelēks).
• Izmantojot proxy, lietojiet SSL režīmu Full (strict). CNAME flattening darbojas tikai pie pakalpojumu sniedzējiem, kas to piedāvā.

Tests

Uzdevums

Uzdevums Z7.5: Ārējā DNS atpazīšana.

1. Sameklējiet domēna cloudflare.com vārdu serverus. Ar kādu domēnu tie beidzas?
2. Sameklējiet domēna cloudflare.com A ierakstus. Pārrakstiet vienu A ierakstu. Tās ir pašas Cloudflare adreses: tā darbojas proxy.
3. Izvēlieties Jums zināmu domēnu (var būt arī Jūsu paša domēns). Sameklējiet tā vārdu serverus un ievadiet domēna nosaukumu un vārdu serverus. Pēc vārdu serveru nosaukumiem var redzēt, pie kura pakalpojumu sniedzēja tiek pārvaldīts DNS.

Pārbaude iesniegšanas brīdī pieprasa ierakstus tiešsaistē.

Lasiet tālāk

Šajās lapās aprakstīti soļi WebOké paneļos (DirectAdmin un Mans WebOké). Citos paneļos tas darbojas tādā pašā veidā.

• Izmantot savus vai ārējus nameserverus (piemēram, Cloudflare) Jūsu domēnam
• DKIM iestatīšana, ja DNS darbojas ārējā serverī
• DirectAdmin rokasgrāmata 5.12: DNS Mans WebOké portālā un ārējos vārdu serveros, piemēram, Cloudflare
• WebOké rokasgrāmata 5.3: Mainīt vārdu serverus
• DirectAdmin rokasgrāmata 6.6: Let's Encrypt neizdodas: cēloņi un risinājumi