Vaš DNS kod drugog pružatelja, poput Cloudflare

Modul 7: Povezivanje vanjskih usluga · Vrijeme čitanja: 9 minuta

Cilj lekcije: Nakon ove lekcije moći ćete prebaciti DNS svoje domene na vanjskog DNS pružatelja, znat ćete koje zapise treba preuzeti i kako postupati s proxyjem.

Ključni pojmovi: vanjski poslužitelji imena, preuzimanje zone, zapisi koje treba prenijeti (A, AAAA, MX, SPF, DKIM, DMARC, poddomene, verifikacije), proxy (narančasti i sivi oblak), certifikat iza proxyja (Full strict), CNAME flattening

Zašto Vaš DNS negdje drugdje

Svoju web stranicu možete imati kod jednog pružatelja, e-poštu kod drugog, a DNS kod trećeg. Ljudi biraju zasebnog DNS pružatelja primjerice zato što žele sve svoje domene na jednom mjestu, zbog dodatnih funkcija (poput proxyja koji zaustavlja napade) ili zato što to tako postavi njihov izrađivač web stranica. Cloudflare je poznat primjer toga, no princip je isti kod svakog vanjskog DNS pružatelja.

Princip već poznajete iz lekcije 2.1: tko upravlja poslužiteljima imena, upravlja DNS-om. Ako poslužitelje imena postavite na drugog pružatelja, zapisi kod Vašeg prethodnog DNS upravitelja više se ne broje. Čak ni ako Vaš web host ili pružatelj e-pošte tamo još uvijek ima sve uredno postavljeno.

Redoslijed: prvo pripremite, zatim prebacite

1. Napravite pregled svoje trenutačne zone. Izvezite je, napravite sigurnosnu kopiju u svojoj administraciji ili snimite zaslon sa svim zapisima (lekcija 6.3).
2. Postavite sve zapise kod novog pružatelja. Mnogi pružatelji automatski učitavaju Vaše postojeće zapise. To je praktično, ali nije potpuno: pronalaze samo nazive koje mogu pogoditi. Zapisi poput x._domainkey, _dmarc, verifikacijski TXT zapisi na poddomenama ili autodiscover često se propuste. Zato usporedite s pregledom iz koraka 1.
3. Po potrebi unaprijed smanjite TTL kod svog trenutačnog pružatelja (lekcija 6.3).
4. Promijenite poslužitelje imena kod svog registrara na poslužitelje imena koje navede novi pružatelj.
5. Nakon prebacivanja provjerite rade li web stranica, e-pošta i certifikat, te vidi li novi pružatelj poslužitelje imena kao aktivne.

Neki registri, poput DENIC-a za .de, prilikom promjene poslužitelja imena provjeravaju je li Vaša domena već spremna na novim poslužiteljima imena. Ako zona još nije spremna, odbijaju promjenu. I zato: prvo pripremite.

Koji zapisi moraju biti preneseni?

Kontrolni popis za domenu s web stranicom i e-poštom. Preuzmite vrijednosti od svog web hosta i pružatelja e-pošte.

Obratite pozornost na poddomene koje ste izradili u svojoj administraciji hostinga. Kod DNS-a Vašeg web hosta one su se često automatski pojavljivale u zoni, ili su radile putem wildcarda (*). Kod vanjskog pružatelja morate ih sami izraditi, ili sami postaviti wildcard (lekcija 3.3). Ako kasnije u svojoj administraciji hostinga izradite novu poddomenu, postavite je i kod DNS pružatelja.

A DKIM ključ Vašeg web hosta: on se nalazi u zoni kod Vašeg web hosta, primjerice kao x._domainkey. Kopirajte naziv i cijelu vrijednost novom pružatelju. Česta je greška da se vrijednost usput odreže ili da se u njoj pojave razmaci.

Proxy: narančasto ili sivo

Cloudflare i slične usluge uz DNS imaju i proxy. Kod Cloudflarea to vidite kao oblačić iza svakog A, AAAA i CNAME zapisa:

• Narančasto (proxied): DNS ne vraća IP adresu Vašeg poslužitelja, nego adresu Cloudflarea. Posjetitelji prvo idu na Cloudflare, a Cloudflare to prosljeđuje Vašem poslužitelju. To djeluje samo za web stranice (http i https).
• Sivo (DNS only): DNS jednostavno vraća pravu IP adresu. Cloudflare tada obavlja samo DNS.

Posljedice:

• E-pošta ne ide kroz proxy. Postavite zapis za mail i sve što Vaš program za e-poštu ili drugi poslužitelji e-pošte koriste na sivo. Ako je mail postavljen na narančasto, Vaš MX pokazuje na adresu Cloudflarea koja ne prima e-poštu.
• Ni FTP, SSH i ostali promet koji nije web promet ne ide kroz proxy. Za to koristite naziv sa sivim oblakom, ili naziv poslužitelja Vašeg web hosta.
• Certifikati. S narančastim oblakom izdavatelj certifikata poput Let's Encrypt ne vidi Vaš poslužitelj izravno. Automatsko zahtijevanje certifikata kod Vašeg web hosta tada može ne uspjeti. Privremeno postavite proxy na sivo dok Vaš web host ne pribavi certifikat, ili koristite metodu koja radi putem DNS-a.
• SSL način rada. Kod Cloudflarea postavite SSL način rada na Full (strict) ako Vaš poslužitelj ima valjan certifikat. U načinu rada "Flexible" promet između Cloudflarea i Vašeg poslužitelja nije šifriran, a taj način rada često uzrokuje i beskonačnu petlju preusmjeravanja kod web stranica koje same već preusmjeravaju na https.

CNAME na goloj domeni?

Obični CNAME na @ nije moguć (lekcija 3.2). Neki DNS pružatelji nude rješenje za to, pod nazivima poput CNAME flattening, ALIAS ili ANAME. Tada unesete naziv za @, a DNS pružatelj sam pronalazi pripadajuću IP adresu i vraća je kao A ili AAAA zapis. Za vanjski svijet dakle jednostavno postoji običan A zapis.

Praktično je kad Vam platforma daje samo naziv. No to nije standardni DNS: ako se preselite pružatelju koji to ne podržava, morat ćete ponovno izraditi A zapis s IP adresom.

Prepoznavanje problema

• "Promijenio/la sam zapis i ništa se ne događa." Provjerite koje poslužitelje imena koristi Vaša domena (lekcija 8.2). Ako se nalaze kod vanjskog pružatelja, promijenite zapis tamo.
• Web stranica radi, e-pošta ne. Nedostaje li MX, nedostaje li A zapis za mail, ili je mail postavljen na narančasto?
• E-pošta stiže, ali češće u spamu. DKIM zapis zaboravljen ili odrezan, ili SPF nije prenesen.
• Greška certifikata ili petlja preusmjeravanja. Proxy uključen sa SSL načinom rada Flexible, ili Vaš web host nije mogao zatražiti certifikat.

U praksi: ovako to izgleda u administraciji

U primjeru administracije Moj WebOké na kartici DNS na vrhu vidite koje poslužitelje imena koristi Vaša domena. Ako se tamo nalaze vanjski poslužitelji imena, promjene u Moj WebOké ili DirectAdmin nemaju učinka. Vrijednosti koje su Vam potrebne kod vanjskog pružatelja (IP adresa, naziv poslužitelja za MX, DKIM ključ kod x._domainkey) pronaći ćete u DNS Administration unutar DirectAdmin ili u mailu dobrodošlice za svoj paket. Poslužitelje imena mijenjate na stranici domene kod kartice Poslužitelji imena.

U drugim administracijama, poput cPanel, Plesk ili DNS zaslona Vašeg registrara, vidite iste zapise. Kod vanjskog pružatelja gumbi se drugačije zovu, ali ispunjavate ista polja: naziv, tip, vrijednost, TTL, a kod Cloudflarea i proxy način rada.

Sažetak

• Tko upravlja poslužiteljima imena, upravlja DNS-om. Zapisi kod Vašeg prethodnog pružatelja više se ne broje.
• Prvo postavite sve zapise kod novog pružatelja i usporedite s pregledom svoje stare zone; tek zatim promijenite poslužitelje imena.
• Ne zaboravite: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, verifikacije i poddomene.
• E-pošta i drugi promet koji nije web promet ne ide kroz proxy: postavite te zapise na "DNS only" (sivo).
• Kod proxyja koristite SSL način rada Full (strict). CNAME flattening radi samo kod pružatelja koji ga nude.

Kviz

Zadatak

Zadatak Z7.5: Prepoznavanje vanjskog DNS-a.

1. Pronađite poslužitelje imena domene cloudflare.com. Na kojoj domeni završavaju?
2. Pronađite A zapise domene cloudflare.com. Prepišite jedan A zapis. To su adrese samog Cloudflarea: tako radi proxy.
3. Odaberite domenu koju poznajete (može i Vaša vlastita domena). Pronađite poslužitelje imena i unesite naziv domene i poslužitelje imena. Po nazivima poslužitelja imena vidite kod kojeg se pružatelja upravlja DNS-om.

Provjera prilikom predaje zapise dohvaća uživo.

Dodatno štivo

Ove stranice opisuju korake u administracijama WebOké (DirectAdmin i Moj WebOké). U drugim administracijama postupak je isti.

• Korištenje vlastitih ili eksternih nameservera (poput Cloudflare) za Vašu domenu
• Postavljanje DKIM-a kada DNS radi na vanjskom serveru
• DirectAdmin priručnik 5.12: DNS u Moj WebOké i kod vanjskih nameservera poput Cloudflarea
• Priručnik za WebOké 5.3: Promijenite nameservere
• DirectAdmin priručnik 6.6: Let's Encrypt ne uspijeva: uzroci i rješenja