Jouw DNS mujal teenusepakkujal, näiteks Cloudflare

Moodul 7: Väliste teenuste sidumine · Lugemisaeg: 9 minutit

Õpieesmärk: Pärast seda tundi oskad viia oma domeeni DNS-i üle välisele DNS-teenusepakkujale, tead, millised kirjed tuleb kaasa võtta ja kuidas käituda proxyga.

Põhimõisted: välised nimeserverid, tsooni ülevõtmine, kaasavõetavad kirjed (A, AAAA, MX, SPF, DKIM, DMARC, alamdomeenid, verifitseerimised), proxy (oranž ja hall pilv), sertifikaat proxy taga (Full strict), CNAME flattening

Miks DNS mujal hoida

Sinu veebisait võib olla ühe teenusepakkuja juures, e-post teise ja DNS kolmanda juures. Inimesed valivad eraldi DNS-teenusepakkuja näiteks sellepärast, et nad tahavad kõiki oma domeene ühes kohas hoida, lisafunktsioonide pärast (nagu proxy, mis tõkestab ründeid) või sellepärast, et nende veebiarendaja on nii seadistanud. Cloudflare on sellest tuntud näide, aga põhimõte töötab sama moodi iga välise DNS-teenusepakkuja juures.

Põhimõtet tead juba tunnist 2.1: kes haldab nimeservereid, see haldab DNS-i. Kui suunad nimeserverid teise teenusepakkuja juurde, siis eelmise DNS-halduri juures olevad kirjed enam ei kehti. Isegi mitte siis, kui su veebimajutaja või meiliteenuse pakkuja on seal kõik korralikult üleval hoidnud.

Järjekord: enne valmis sea, siis vaheta

1. Tee oma praegusest tsoonist ülevaade. Ekspordi see, tee oma paneelis varukoopia või tee kõigist kirjetest ekraanipilt (tund 6.3).
2. Sea kõik kirjed uue teenusepakkuja juures valmis. Paljud teenusepakkujad loevad su olemasolevad kirjed automaatselt sisse. See on mugav, aga mitte täielik: nad leiavad ainult nimed, mida nad oskavad ära arvata. Kirjed nagu x._domainkey, _dmarc, alamdomeenide verifitseerimis-TXT-kirjed või autodiscover jäävad tihti märkamatuks. Võrdle seetõttu oma 1. sammus tehtud ülevaatega.
3. Vajaduse korral vähenda enne vahetust TTL-i oma praeguse teenusepakkuja juures (tund 6.3).
4. Muuda oma registripidaja juures nimeservereid nimeserveriteks, mille uus teenusepakkuja annab.
5. Kontrolli pärast vahetust, kas veebisait, e-post ja sertifikaat töötavad ning kas uus teenusepakkuja näeb nimeservereid aktiivsena.

Mõned registrid, näiteks DENIC domeeni .de jaoks, kontrollivad nimeserverite muutmisel, kas sinu domeen on juba uute nimeserverite peal valmis seatud. Kui tsooni seal veel pole, siis nad lükkavad muudatuse tagasi. Ka seetõttu: enne valmis sea.

Millised kirjed tuleb kaasa võtta?

Kontrollnimekiri domeenile, millel on veebisait ja e-post. Võta väärtused üle oma veebimajutajalt ja meiliteenuse pakkujalt.

Pane tähele alamdomeene, mille oled loonud oma majutuspaneelis. Veebimajutaja DNS-i juures tekkisid need tsooni tihti iseenesest või töötasid wildcardi (*) kaudu. Välise teenusepakkuja juures pead need ise looma või ise wildcardi seadistama (tund 3.3). Kui loo hiljem majutuspaneelis uue alamdomeeni, siis lisa see ka DNS-teenusepakkuja juurde.

Ja sinu veebimajutaja DKIM-võti: see seisab sinu veebimajutaja tsoonis, näiteks kujul x._domainkey. Kopeeri nimi ja kogu väärtus uue teenusepakkuja juurde. Levinud viga on, et väärtus lõigatakse teel kogemata lühemaks või sellesse tekivad tühikud.

Proxy: oranž või hall

Cloudflare ja sarnastel teenustel on DNS-i kõrval ka proxy. Cloudflare's näed seda väikese pilvena iga A-, AAAA- ja CNAME-kirje taga:

• Oranž (proxied): DNS ei anna tagasi sinu enda serveri IP-aadressi, vaid Cloudflare'i aadressi. Külastajad lähevad kõigepealt Cloudflare'i juurde ja Cloudflare suunab nad edasi sinu serverisse. See töötab ainult veebisaitide jaoks (http ja https).
• Hall (DNS only): DNS annab tagasi lihtsalt tegeliku IP-aadressi. Cloudflare teeb siis ainult DNS-i.

Tagajärjed:

• E-post ei liigu proxy kaudu. Sea mail-i kirje ja kõik, mida sinu meiliprogramm või teised meiliserverid kasutavad, hallile. Kui mail on oranžil, siis sinu MX-kirje osutab Cloudflare'i aadressile, mis e-kirju vastu ei võta.
• Ka FTP, SSH ja muu veebiväline liiklus ei liigu proxy kaudu. Kasuta selleks nime, mille taga on hall pilv, või oma veebimajutaja serverinime.
• Sertifikaadid. Oranžiga ei näe sertifikaadiväljastaja nagu Let's Encrypt sinu serverit otse. Sertifikaadi automaatne taotlemine sinu veebimajutaja juures võib siis ebaõnnestuda. Sea proxy ajutiselt hallile, kuni veebimajutaja on sertifikaadi saanud, või kasuta meetodit, mis töötab DNS-i kaudu.
• SSL-i režiim. Sea Cloudflare's SSL-i režiimiks Full (strict), kui su serveril on kehtiv sertifikaat. Režiimis "Flexible" ei ole liiklus Cloudflare'i ja sinu serveri vahel krüpteeritud ning see režiim tekitab lisaks sageli lõputu suunamistsükli veebisaitidel, mis juba ise suunavad https-ile.

CNAME paljal domeenil?

Tavaline CNAME @ peal ei ole lubatud (tund 3.2). Mõned DNS-teenusepakkujad pakuvad sellele lahenduse nimede all nagu CNAME flattening, ALIAS või ANAME. Sa sisestad siis nime väljale @ ja DNS-teenusepakkuja otsib ise üles vastava IP-aadressi ning annab selle tagasi A- või AAAA-kirjena. Väljapoole paistab seega lihtsalt tavaline A-kirje.

Kasulik, kui platvorm annab sulle ainult nime. Aga see ei ole standardne DNS: kui kolid teenusepakkuja juurde, kes seda ei toeta, siis pead taas looma A-kirje koos IP-aadressiga.

Probleemide tundmine

• "Muutsin kirjet ja midagi ei toimu." Vaata, milliseid nimeservereid sinu domeen kasutab (tund 8.2). Kui need on välise teenusepakkuja juures, siis muuda kirjet seal.
• Veebisait töötab, e-post mitte. Kas puudub MX, puudub mail jaoks A-kirje või on mail oranžil?
• E-post jõuab kohale, aga sagedamini rämpspostis. DKIM-kirje on unustatud või lühemaks lõigatud, või SPF ei ole üle võetud.
• Sertifikaadi viga või suunamistsükkel. Proxy on sees koos SSL-i režiimiga Flexible, või veebimajutaja ei saanud sertifikaati taotleda.

Praktikas: nii näeb see paneelis välja

Näidispaneelis Minu WebOké näed DNS-i vahekaardil ülaosas, milliseid nimeservereid sinu domeen kasutab. Kui seal on välised nimeserverid, siis muudatustel Minu WebOké's või DirectAdminis mõju ei ole. Väärtused, mida välise teenusepakkuja juures vajad (IP-aadress, MX-kirje serverinimi, DKIM-võti kujul x._domainkey), leiad DirectAdmini DNS Administration vaatest või oma paketi tervituskirjast. Nimeservereid muudad domeenilehel Nameservers kaardi juures.

Teistes paneelides, nagu cPanel, Plesk või sinu registripidaja DNS-vaates, näed samu kirjeid. Välise teenusepakkuja juures kannavad nupud teistsuguseid nimesid, aga täidad samu välju: nimi, tüüp, väärtus, TTL ja Cloudflare'i puhul ka proxy režiim.

Kokkuvõte

• Kes haldab nimeservereid, see haldab DNS-i. Eelmise teenusepakkuja juures olevad kirjed enam ei kehti.
• Sea kõigepealt kõik kirjed uue teenusepakkuja juures valmis ja võrdle vana tsooni ülevaatega; vaheta alles seejärel nimeservereid.
• Ära unusta: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, verifitseerimised ja alamdomeenid.
• E-post ja muu veebiväline liiklus ei liigu proxy kaudu: sea need kirjed režiimile "DNS only" (hall).
• Kasuta proxy puhul SSL-i režiimi Full (strict). CNAME flattening töötab ainult teenusepakkujate juures, kes seda pakuvad.

Test

Ülesanne

Ülesanne Z7.5: Välise DNS-i tundmine.

1. Otsi üles domeeni cloudflare.com nimeserverid. Millise domeeniga need lõppevad?
2. Otsi üles domeeni cloudflare.com A-kirjed. Kirjuta üles üks A-kirje. Need on Cloudflare'i enda aadressid: nii proxy toimibki.
3. Vali endale tuttav domeen (võib olla ka sinu enda domeen). Otsi selle nimeserverid üles ja sisesta domeeninimi ning nimeserverid. Nimeserverite nimedest näed, millise teenusepakkuja juures DNS-i hallatakse.

Kontroll küsib kirjed esitamisel elava päringuna.

Loe edasi

Need leheküljed kirjeldavad samme WebOké paneelides (DirectAdmin ja Minu WebOké). Teistes paneelides toimib see samamoodi.

• Kasuta oma domeeni jaoks enda või väliseid nameservereid (näiteks Cloudflare)
• DKIM-i seadistamine, kui DNS asub välises serveris
• DirectAdmin juhend 5.12: DNS Minu WebOké portaalis ja väliste nimeserverite puhul, näiteks Cloudflare
• WebOké juhend 5.3: Nimeserverite muutmine
• DirectAdmin juhend 6.6: Let's Encrypt ei õnnestu: põhjused ja lahendused