A DNS áthelyezése egy másik szolgáltatóhoz, például a Cloudflare-hez

7. modul: Külső szolgáltatások összekapcsolása · Olvasási idő: 9 perc

Tanulási cél: A lecke után át tudja helyezni domainje DNS-ét egy külső DNS-szolgáltatóhoz, tudja, mely rekordokat kell átvinnie, és hogyan kell bánni egy proxyval.

Kulcsfogalmak: külső névszerverek, zóna átvétele, átviendő rekordok (A, AAAA, MX, SPF, DKIM, DMARC, aldomainek, ellenőrzések), proxy (narancssárga és szürke felhő), tanúsítvány proxy mögött (Full strict), CNAME flattening

Miért máshol legyen a DNS

Előfordulhat, hogy a weboldala egy szolgáltatónál van, az e-mailje egy másodiknál, a DNS-e pedig egy harmadiknál. A felhasználók gyakran azért választanak külön DNS-szolgáltatót, mert minden domainjüket egy helyen szeretnék kezelni, extra funkciók miatt (például egy proxy, amely megállítja a támadásokat), vagy mert a weboldalkészítőjük így állítja be. A Cloudflare egy ismert példa erre, de ugyanígy működik bármelyik külső DNS-szolgáltatónál.

Az elvet a 2.1. leckéből már ismeri: aki a névszervereket üzemelteti, az kezeli a DNS-t. Ha a névszervereket egy másik szolgáltatóhoz állítja át, akkor az előző DNS-kezelőnél lévő rekordok többé nem számítanak. Akkor sem, ha a webtárhely-szolgáltatója vagy levelezőszolgáltatója ott még mindig mindent rendben tart.

A sorrend: először előkészíteni, aztán váltani

1. Készítsen áttekintést a jelenlegi zónájáról. Exportálja, készítsen róla biztonsági másolatot a kezelőfelületén, vagy készítsen képernyőképeket az összes rekordról (6.3. lecke).
2. Állítsa be az összes rekordot az új szolgáltatónál. Sok szolgáltató automatikusan beolvassa a meglévő rekordokat. Ez hasznos, de nem teljes: csak azokat a neveket találják meg, amelyeket ki tudnak találni. Az olyan rekordok, mint az x._domainkey, a _dmarc, az aldomaineken lévő ellenőrző TXT-rekordok vagy egy autodiscover, gyakran kimaradnak. Ezért hasonlítsa össze az 1. lépésben készített áttekintéssel.
3. Szükség esetén előre csökkentse a TTL-t a jelenlegi szolgáltatónál (6.3. lecke).
4. Módosítsa a névszervereket a regisztrátoránál az új szolgáltató által megadott névszerverekre.
5. A váltás után ellenőrizze, hogy a weboldal, az e-mail és a tanúsítvány működik-e, és hogy az új szolgáltató aktívnak látja-e a névszervereket.

Néhány nyilvántartó, például a DENIC a .de esetében, egy névszerverváltásnál ellenőrzi, hogy a domain már fel van-e készítve az új névszerverekre. Ha a zóna még nincs ott, elutasítják a módosítást. Ez is egy ok arra, hogy először mindent előkészítsen.

Mely rekordokat kell átvinni?

Egy ellenőrzőlista egy olyan domainhez, amelyhez weboldal és e-mail is tartozik. Vegye át az értékeket a webtárhely-szolgáltatójától és a levelezőszolgáltatójától.

Ügyeljen az olyan aldomainekre, amelyeket a tárhelykezelő felületén hozott létre. A webtárhely-szolgáltató DNS-énél ezek gyakran automatikusan bekerültek a zónába, vagy egy helyettesítő karakteres rekorddal (*) működtek. Egy külső szolgáltatónál saját magának kell létrehoznia őket, vagy saját maga állíthat be egy ilyen helyettesítő rekordot (3.3. lecke). Ha később új aldomaint hoz létre a tárhelykezelő felületén, azt is állítsa be a DNS-szolgáltatónál.

És a webtárhely-szolgáltatója DKIM-kulcsa: ez a webtárhely-szolgáltatójánál található a zónában, például x._domainkey néven. Másolja át a nevet és a teljes értéket az új szolgáltatóhoz. Gyakori hiba, hogy az érték útközben levágódik, vagy szóközök kerülnek bele.

A proxy: narancssárga vagy szürke

A Cloudflare és a hasonló szolgáltatások a DNS mellett egy proxyt is kínálnak. A Cloudflare-nél ez minden A-, AAAA- és CNAME-rekord mögött egy felhőként jelenik meg:

• Narancssárga (proxied): a DNS nem az Ön szerverének IP-címét adja vissza, hanem egy Cloudflare-címet. A látogatók először a Cloudflare-hez mennek, a Cloudflare pedig továbbítja a kérést az Ön szerverének. Ez csak weboldalaknál működik (http és https).
• Szürke (DNS only): a DNS egyszerűen a valós IP-címet adja vissza. Ilyenkor a Cloudflare csak DNS-t szolgáltat.

Következmények:

• A levelezés nem megy keresztül a proxyn. Állítsa a mail rekordot és mindent, amit a levelezőprogramja vagy más levelezőszerverek használnak, szürkére. Ha a mail narancssárgán áll, akkor az MX-je egy Cloudflare-címre mutat, amely nem fogad el leveleket.
• Az FTP, az SSH és más, nem web jellegű forgalom szintén nem megy keresztül a proxyn. Ehhez használjon egy szürke felhős nevet, vagy a webtárhely-szolgáltatója szervernevét.
• Tanúsítványok. Narancssárga beállítás esetén egy olyan tanúsítványkiadó, mint a Let's Encrypt, nem látja közvetlenül az Ön szerverét. A tanúsítvány automatikus igénylése a webtárhely-szolgáltatójánál ekkor meghiúsulhat. Állítsa a proxyt ideiglenesen szürkére, amíg a webtárhely-szolgáltatója el nem készíti a tanúsítványt, vagy használjon egy olyan módszert, amely DNS-en keresztül működik.
• SSL-mód. Állítsa a Cloudflare-nél az SSL-módot Full (strict) értékre, ha a szervere rendelkezik érvényes tanúsítvánnyal. A "Flexible" módban a Cloudflare és az Ön szervere közötti forgalom nincs titkosítva, és ez a mód gyakran végtelen átirányítási hurkot okoz azoknál a weboldalaknál, amelyek maga is https-re irányítanak.

CNAME a csupasz domainen?

Egy sima CNAME a @ rekordon nem lehetséges (3.2. lecke). Néhány DNS-szolgáltató kínál erre megoldást, olyan néven, mint CNAME flattening, ALIAS vagy ANAME. Ekkor egy nevet ad meg a @-nál, a DNS-szolgáltató pedig saját maga keresi ki a hozzá tartozó IP-címet, és azt adja vissza A- vagy AAAA-rekordként. A külvilág számára tehát egyszerűen egy A-rekord jelenik meg.

Hasznos, ha egy platform csak egy nevet ad meg Önnek. Azonban ez nem szabványos DNS: ha olyan szolgáltatóhoz költözik, amely ezt nem ismeri, akkor újra létre kell hoznia egy A-rekordot egy IP-címmel.

Problémák felismerése

• "Módosítottam egy rekordot, és semmi nem történik." Nézze meg, mely névszervereket használja a domainje (8.2. lecke). Ha a külső szolgáltatónál állnak, akkor a rekordot ott kell módosítania.
• A weboldal működik, az e-mail nem. Hiányzik az MX, hiányzik a mail A-rekordja, vagy a mail narancssárgán áll?
• A levél megérkezik, de gyakrabban a spamba. Elfelejtett vagy levágott DKIM-rekord, vagy az SPF nem lett átvéve.
• Tanúsítványhiba vagy átirányítási hurok. A proxy be van kapcsolva Flexible SSL-móddal, vagy a webtárhely-szolgáltatója nem tudott tanúsítványt igényelni.

A gyakorlatban: így néz ki egy kezelőfelületen

A Fiókom példafelületen a DNS fülön legfelül látja, mely névszervereket használja a domainje. Ha ott külső névszerverek szerepelnek, akkor a Fiókom vagy a DirectAdmin módosításainak nincs hatása. A külső szolgáltatónál szükséges értékeket (IP-cím, az MX-hez tartozó szervernév, DKIM-kulcs az x._domainkey rekordnál) a DirectAdmin DNS adminisztráció felületén vagy a csomagja üdvözlő e-mailjében találja meg. A névszervereket a domainoldalon, a Névszerverek kártyánál módosíthatja.

Más kezelőfelületeken, mint a cPanel, a Plesk vagy a regisztrátora DNS-képernyője, ugyanazokat a rekordokat látja. A külső szolgáltatónál a gombok másként hívhatók, de ugyanazokat a mezőket kell kitöltenie: név, típus, érték, TTL, a Cloudflare-nél pedig a proxy-mód.

Összefoglalás

• Aki a névszervereket üzemelteti, az kezeli a DNS-t. Az előző szolgáltatónál lévő rekordok többé nem számítanak.
• Először állítsa be az összes rekordot az új szolgáltatónál, és hasonlítsa össze a régi zónájáról készült áttekintéssel; csak ezután módosítsa a névszervereket.
• Ne felejtse el: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, ellenőrzések és aldomainek.
• A levelezés és más nem web jellegű forgalom nem megy keresztül a proxyn: állítsa ezeket a rekordokat "DNS only" (szürke) módba.
• Proxy használatakor alkalmazza a Full (strict) SSL-módot. A CNAME flattening csak azoknál a szolgáltatóknál működik, amelyek kínálják.

Kvíz

Feladat

Z7.5 feladat: Külső DNS felismerése.

1. Keresse meg a cloudflare.com névszervereit. Milyen domainre végződnek?
2. Keresse meg a cloudflare.com A-rekordjait. Írjon le egy A-rekordot. Ezek maguknak a Cloudflare-nek a címei: így működik egy proxy.
3. Válasszon egy domaint, amelyet ismer (lehet a saját domainje is). Keresse meg a névszervereit, és írja be a domainnevet és a névszervereket. A névszerverek neveiből látható, hogy melyik szolgáltató kezeli a DNS-t.

Az ellenőrzés a beküldéskor élőben kérdezi le a rekordokat.

További olvasnivaló

Ezek az oldalak a WebOké kezelőfelületein (DirectAdmin és Fiókom) bemutatott lépéseket írják le. Más kezelőfelületeken ugyanígy működik.

• Saját vagy külső (például Cloudflare) névszerverek használata a domainhez
• DKIM beállítása, ha a DNS külső szerveren fut
• DirectAdmin útmutató 5.12: DNS a Fiókom rendszerben és külső névszervereknél, mint például a Cloudflare
• WebOké útmutató 5.3: Névszerverek módosítása
• DirectAdmin útmutató 6.6: Ha nem sikerül a Let's Encrypt: okok és megoldások