Vaše DNS u jiného poskytovatele, jako je Cloudflare

Modul 7: Propojení externích služeb · Doba čtení: 9 min

Cíl lekce: Po této lekci dokážete převést DNS své domény k externímu poskytovateli DNS, budete vědět, které záznamy je potřeba přenést, a budete umět pracovat s proxy.

Klíčové pojmy: externí jmenné servery, převzetí zóny, záznamy, které je nutné přenést (A, AAAA, MX, SPF, DKIM, DMARC, subdomény, ověřovací záznamy), proxy (oranžový a šedý obláček), certifikát za proxy (Full strict), CNAME flattening

Proč mít DNS jinde

Můžete mít web u jednoho poskytovatele, e-mail u druhého a DNS u třetího. Lidé si volí samostatného poskytovatele DNS třeba proto, že chtějí mít všechny své domény na jednom místě, kvůli dalším funkcím (například proxy, která zastavuje útoky), nebo protože to tak nastaví jejich tvůrce webu. Známým příkladem je Cloudflare, ale princip je stejný u každého externího poskytovatele DNS.

Princip znáte z lekce 2.1: kdo provozuje jmenné servery, ten spravuje DNS. Přesunete-li jmenné servery k jinému poskytovateli, záznamy u Vašeho předchozího správce DNS se už neuplatní. A to ani v případě, že tam Váš webhosting nebo poskytovatel e-mailu stále má vše pečlivě nastavené.

Postup: nejdřív připravit, pak přepnout

1. Vytvořte si přehled své aktuální zóny. Exportujte ji, vytvořte si zálohu v panelu, nebo si pořiďte snímky obrazovky se všemi záznamy (lekce 6.3).
2. Připravte všechny záznamy u nového poskytovatele. Mnozí poskytovatelé automaticky načtou Vaše existující záznamy. To je sice praktické, ale ne úplné: najdou jen názvy, které dokážou odhadnout. Záznamy jako x._domainkey, _dmarc, ověřovací TXT záznamy na subdoménách nebo autodiscover se často přehlédnou. Porovnejte proto výsledek s přehledem z kroku 1.
3. Případně předem snižte TTL u svého současného poskytovatele (lekce 6.3).
4. Změňte jmenné servery u registrátora na jmenné servery, které uvádí nový poskytovatel.
5. Po přepnutí zkontrolujte, zda funguje web, e-mail i certifikát, a zda nový poskytovatel vidí jmenné servery jako aktivní.

Některé registry, například DENIC pro .de, při změně jmenných serverů kontrolují, zda je doména na nových jmenných serverech už připravena. Pokud tam zóna ještě není, změnu odmítnou. I proto platí: nejdřív připravit.

Které záznamy je potřeba přenést?

Kontrolní seznam pro doménu s webem a e-mailem. Hodnoty převezměte od svého webhostingu a poskytovatele e-mailu.

Dávejte pozor na subdomény, které jste vytvořili ve svém hostingovém panelu. U DNS Vašeho webhostingu se často objevily v zóně automaticky, nebo fungovaly přes zástupný záznam (wildcard, *). U externího poskytovatele je musíte vytvořit sami, případně si sami nastavit wildcard (lekce 3.3). Pokud později vytvoříte novou subdoménu ve svém hostingovém panelu, nastavte ji i u poskytovatele DNS.

A klíč DKIM od Vašeho webhostingu: ten se nachází v zóně u Vašeho webhostingu, například jako x._domainkey. Zkopírujte název i celou hodnotu k novému poskytovateli. Častou chybou je, že se hodnota při přenosu zkrátí, nebo se do ní dostanou mezery.

Proxy: oranžová, nebo šedá

Cloudflare a podobné služby mají kromě DNS i proxy. U Cloudflare ji vidíte jako obláček u každého záznamu A, AAAA a CNAME:

• Oranžová (proxied): DNS nevrací IP adresu Vašeho serveru, ale adresu Cloudflare. Návštěvníci se nejprve připojí ke Cloudflare a ta provoz přepošle na Váš server. To funguje jen pro weby (http a https).
• Šedá (DNS only): DNS vrací skutečnou IP adresu. Cloudflare v tomto případě zajišťuje pouze DNS.

Důsledky:

• E-mail neprochází přes proxy. Nastavte záznam pro mail a vše, co používá Váš e-mailový program nebo jiné e-mailové servery, na šedou. Pokud je mail nastaven na oranžovou, Váš MX bude ukazovat na adresu Cloudflare, která e-maily nepřijímá.
• Ani FTP, SSH a jiný neweb neprochází přes proxy. Použijte pro to název s šedým obláčkem, nebo název serveru Vašeho webhostingu.
• Certifikáty. Při oranžové proxy nevidí vydavatel certifikátu, například Let's Encrypt, Váš server přímo. Automatické vyžádání certifikátu u Vašeho webhostingu pak může selhat. Nastavte proxy dočasně na šedou, dokud webhosting certifikát nezíská, nebo použijte metodu, která funguje přes DNS.
• Režim SSL. U Cloudflare nastavte režim SSL na Full (strict), pokud má Váš server platný certifikát. V režimu „Flexible“ není provoz mezi Cloudflare a Vaším serverem šifrovaný a tento režim navíc u webů, které samy přesměrovávají na https, často způsobuje nekonečnou přesměrovací smyčku.

CNAME na holé doméně?

Běžný záznam CNAME na @ nejde nastavit (lekce 3.2). Někteří poskytovatelé DNS nabízejí řešení pod názvy jako CNAME flattening, ALIAS nebo ANAME. Zadáte název pro @ a poskytovatel DNS si sám vyhledá odpovídající IP adresu a vrátí ji jako záznam A nebo AAAA. Navenek tedy vypadá jako běžný záznam A.

Je to praktické, pokud Vám platforma poskytne jen název. Není to ale standardní DNS: při přechodu k poskytovateli, který tuto funkci nezná, budete muset znovu vytvořit záznam A s IP adresou.

Rozpoznávání problémů

• „Změnil jsem záznam a nic se neděje.“ Zjistěte, které jmenné servery Vaše doména používá (lekce 8.2). Pokud jsou u externího poskytovatele, změňte záznam tam.
• Web funguje, e-mail ne. Chybí MX, chybí záznam A pro mail, nebo je mail nastaven na oranžovou?
• E-mail dochází, ale častěji končí ve spamu. Zapomenutý nebo zkrácený záznam DKIM, nebo nepřevzaté SPF.
• Chyba certifikátu nebo přesměrovací smyčka. Zapnutá proxy s režimem SSL Flexible, nebo webhosting nemohl vyžádat certifikát.

V praxi: jak to vypadá v panelu

Ve vzorovém panelu Můj WebOké vidíte na záložce DNS nahoře, jaké jmenné servery Vaše doména používá. Pokud tam jsou externí jmenné servery, změny v Můj WebOké nebo DirectAdmin nemají žádný efekt. Hodnoty, které u externího poskytovatele potřebujete (IP adresa, název serveru pro MX, klíč DKIM u x._domainkey), najdete v sekci DNS v DirectAdmin nebo v uvítacím e-mailu k Vašemu balíčku. Jmenné servery měníte na stránce domény u karty Jmenné servery.

V jiných panelech, jako cPanel, Plesk nebo v DNS obrazovce Vašeho registrátora, uvidíte stejné záznamy. U externího poskytovatele se tlačítka jmenují jinak, ale vyplňujete stejná pole: název, typ, hodnotu, TTL, a u Cloudflare navíc režim proxy.

Shrnutí

• Kdo provozuje jmenné servery, ten spravuje DNS. Záznamy u Vašeho předchozího poskytovatele se už neuplatní.
• Nejprve připravte všechny záznamy u nového poskytovatele a porovnejte je s přehledem staré zóny, teprve poté přepněte jmenné servery.
• Nezapomeňte na: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, ověřovací záznamy a subdomény.
• E-mail a jiný neweb neprochází přes proxy: nastavte tyto záznamy na „DNS only“ (šedá).
• U proxy používejte režim SSL Full (strict). CNAME flattening funguje jen u poskytovatelů, kteří jej nabízejí.

Kvíz

Úkol

Úkol Z7.5: Rozpoznání externí DNS.

1. Vyhledejte jmenné servery domény cloudflare.com. Na jaké doméně končí?
2. Vyhledejte záznamy A domény cloudflare.com. Opište jeden záznam A. Jde o adresy samotné Cloudflare: takto funguje proxy.
3. Vyberte doménu, kterou znáte (může to být i Vaše vlastní doména). Vyhledejte její jmenné servery a vyplňte název domény i jmenné servery. Podle názvů jmenných serverů poznáte, u kterého poskytovatele je DNS spravována.

Kontrola si při odevzdání živě vyžádá aktuální záznamy.

Další čtení

Tyto stránky popisují postup v panelech WebOké (DirectAdmin a Můj WebOké). V jiných panelech to funguje stejným způsobem.

• Použití vlastních nebo externích nameserverů (např. Cloudflare) pro Vaši doménu
• Nastavení DKIM, když DNS běží na externím serveru
• Příručka k DirectAdmin 5.12: DNS v Můj WebOké a u externích jmenných serverů jako Cloudflare
• Příručka WebOké 5.3: Změna jmenných serverů
• Příručka k DirectAdmin 6.6: Let's Encrypt nefunguje: příčiny a řešení