DNS-en din hos en annen part, som Cloudflare

Modul 7: Koble til eksterne tjenester · Lesetid: 9 minutter

Læringsmål: Etter denne leksjonen kan du flytte DNS-en til domenet ditt til en ekstern DNS-part, vet du hvilke poster du må ta med, og hvordan du håndterer en proxy.

Nøkkelbegreper: eksterne navnetjenere, overta sone, poster som må med (A, AAAA, MX, SPF, DKIM, DMARC, underdomener, verifiseringer), proxy (oransje og grå sky), sertifikat bak en proxy (Full strict), CNAME flattening

Hvorfor DNS-en din et annet sted

Du kan ha nettstedet ditt hos én part, e-posten din hos en annen og DNS-en din hos en tredje. Folk velger en egen DNS-part for eksempel fordi de vil ha alle domenene sine på ett sted, for ekstra funksjoner (som en proxy som stopper angrep), eller fordi webbyggeren deres setter det opp slik. Cloudflare er et kjent eksempel på dette, men det fungerer på samme måte hos enhver ekstern DNS-part.

Prinsippet kjenner du fra leksjon 2.1: den som kjører navnetjenerne, administrerer DNS-en. Setter du navnetjenerne til en annen part, teller ikke postene hos din forrige DNS-administrator lenger. Heller ikke om webhotellet eller e-postleverandøren din fortsatt har alt pent satt opp der.

Rekkefølgen: først klargjøre, så bytte

1. Lag en oversikt over den nåværende sonen din. Eksporter den, lag en sikkerhetskopi i panelet ditt, eller ta skjermbilder av alle postene (leksjon 6.3).
2. Legg inn alle postene hos den nye parten. Mange parter leser inn de eksisterende postene dine automatisk. Det er praktisk, men ikke fullstendig: de finner bare navn de kan gjette seg til. Poster som x._domainkey, _dmarc, verifiserings-TXT-poster på underdomener eller en autodiscover blir ofte oversett. Sammenlign derfor med oversikten din fra steg 1.
3. Senk eventuelt TTL-en på forhånd hos din nåværende part (leksjon 6.3).
4. Endre navnetjenerne hos registraren din til navnetjenerne som den nye parten oppgir.
5. Kontroller etter byttet om nettsted, e-post og sertifikat fungerer, og om den nye parten ser navnetjenerne som aktive.

Enkelte registre, som DENIC for .de, kontrollerer ved en navnetjenerendring om domenet ditt allerede er klargjort på de nye navnetjenerne. Er sonen ikke klar ennå, avviser de endringen. Også derfor: klargjør først.

Hvilke poster må med?

En sjekkliste for et domene med nettsted og e-post. Hent verdiene fra webhotellet og e-postleverandøren din.

Vær oppmerksom på underdomener du har laget i hostingpanelet ditt. Hos DNS-en til webhotellet ditt havnet disse ofte automatisk i sonen, eller de fungerte via et wildcard (*). Hos en ekstern part må du opprette dem selv, eller selv sette et wildcard (leksjon 3.3). Lager du et nytt underdomene i hostingpanelet senere, legg det da også inn hos DNS-parten.

Og DKIM-nøkkelen fra webhotellet ditt: den står hos webhotellet ditt i sonen, for eksempel som x._domainkey. Kopier navnet og hele verdien til den nye parten. En vanlig feil er at verdien blir avkuttet underveis, eller at det kommer mellomrom i den.

Proxyen: oransje eller grå

Cloudflare og lignende tjenester har i tillegg til DNS en proxy. Hos Cloudflare ser du dette som en liten sky bak hver A-, AAAA- og CNAME-post:

• Oransje (proxied): DNS-en gir ikke tilbake IP-adressen til din egen server, men en adresse hos Cloudflare. Besøkende går først til Cloudflare, og Cloudflare sender det videre til din server. Dette fungerer bare for nettsteder (http og https).
• Grå (DNS only): DNS-en gir ganske enkelt den ekte IP-adressen. Cloudflare gjør da bare DNS.

Konsekvenser:

• E-post går ikke gjennom proxyen. Sett posten for mail og alt e-postprogrammet ditt eller andre e-postservere bruker, til grå. Står mail på oransje, peker MX-en din til en adresse hos Cloudflare som ikke tar imot e-post.
• Også FTP, SSH og annen ikke-web-trafikk går ikke gjennom proxyen. Bruk et navn med grå sky til dette, eller servernavnet fra webhotellet ditt.
• Sertifikater. Med oransje ser en sertifikatutsteder som Let's Encrypt ikke serveren din direkte. Automatisk søknad om sertifikat hos webhotellet ditt kan da mislykkes. Sett proxyen midlertidig på grå til webhotellet ditt har sertifikatet, eller bruk en metode som fungerer via DNS.
• SSL-modus. Sett SSL-modusen hos Cloudflare til Full (strict) hvis serveren din har et gyldig sertifikat. I modusen "Flexible" er trafikken mellom Cloudflare og serveren din ikke kryptert, og denne modusen forårsaker dessuten ofte en endeløs omdirigeringsløkke hos nettsteder som selv allerede sender til https.

CNAME på det rene domenet?

En vanlig CNAME på @ går ikke (leksjon 3.2). Enkelte DNS-parter tilbyr en løsning for dette, under navn som CNAME flattening, ALIAS eller ANAME. Du fyller da inn et navn for @, og DNS-parten slår selv opp tilhørende IP-adresse og gir den tilbake som en A- eller AAAA-post. For omverdenen står det altså bare en vanlig A-post.

Praktisk når en plattform bare gir deg et navn. Men det er ikke standard-DNS: flytter du til en part som ikke støtter dette, må du lage en A-post med en IP-adresse igjen.

Gjenkjenne problemer

• "Jeg har endret en post, og ingenting skjer." Se hvilke navnetjenere domenet ditt bruker (leksjon 8.2). Står de hos den eksterne parten, endre posten der.
• Nettsted fungerer, e-post ikke. Mangler MX, mangler A-posten for mail, eller står mail på oransje?
• E-post kommer frem, men oftere i spam. DKIM-post glemt eller avkuttet, eller SPF ikke tatt med.
• Sertifikatfeil eller omdirigeringsløkke. Proxy på med SSL-modus Flexible, eller webhotellet ditt kunne ikke søke om sertifikat.

I praksis: slik ser det ut i et panel

I eksempelpanelet Min side ser du på fanen DNS øverst hvilke navnetjenere domenet ditt bruker. Står det eksterne navnetjenere der, har endringer i Min side eller DirectAdmin ingen effekt. Verdiene du trenger hos den eksterne parten (IP-adresse, servernavn for MX-en, DKIM-nøkkel hos x._domainkey) finner du i DNS Administration i DirectAdmin eller i velkomstmailen til pakken din. Navnetjenerne endrer du på domenesiden ved kortet Navnetjenere.

I andre paneler, som cPanel, Plesk eller DNS-skjermen hos registraren din, ser du de samme postene. Hos den eksterne parten heter knappene noe annet, men du fyller inn de samme feltene: navn, type, verdi, TTL, og hos Cloudflare proxy-modusen.

Sammendrag

• Den som kjører navnetjenerne, administrerer DNS-en. Poster hos din forrige part teller ikke lenger.
• Legg først inn alle postene hos den nye parten og sammenlign med en oversikt over din gamle sone; bytt deretter navnetjenerne.
• Ikke glem: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, verifiseringer og underdomener.
• E-post og annen ikke-web-trafikk går ikke gjennom en proxy: sett disse postene på "DNS only" (grå).
• Bruk SSL-modus Full (strict) ved en proxy. CNAME flattening fungerer bare hos parter som tilbyr det.

Quiz

Oppgave

Oppgave Z7.5: Gjenkjenne ekstern DNS.

1. Finn navnetjenerne til cloudflare.com. Hvilket domene ender de på?
2. Finn A-postene til cloudflare.com. Skriv av én A-post. Dette er adresser som tilhører Cloudflare selv: slik fungerer en proxy.
3. Velg et domene du kjenner (ditt eget domene er greit). Finn navnetjenerne og fyll inn domenenavnet og navnetjenerne. Ut fra navnene på navnetjenerne ser du hvilken part som administrerer DNS-en.

Kontrollen henter postene live ved innlevering.

Les mer

Disse sidene beskriver stegene i panelene til WebOké (DirectAdmin og Min side). I andre paneler fungerer det på samme måte.

• Bruk egne eller eksterne nameservere (som Cloudflare) for domenet ditt
• Sette opp DKIM når DNS ligger på en ekstern server
• DirectAdmin-veiledning 5.12: DNS i Mitt WebOké og hos eksterne navnetjenere som Cloudflare
• WebOké-veiledning 5.3: Endre navneservere
• DirectAdmin-veiledning 6.6: Let's Encrypt fungerer ikke: årsaker og løsninger