Din DNS hos en annan part, som Cloudflare

Modul 7: Koppla externa tjänster · Lästid: 9 minuter

Lärandemål: Efter den här lektionen kan du flytta DNS för din domän till en extern DNS-part, vet du vilka poster du ska ta med och hur du hanterar en proxy.

Nyckelbegrepp: externa namnservrar, ta över zon, poster som måste följa med (A, AAAA, MX, SPF, DKIM, DMARC, subdomäner, verifieringar), proxy (orange och grått moln), certifikat bakom en proxy (Full strict), CNAME flattening

Varför din DNS kan ligga någon annanstans

Du kan ha din webbplats hos en part, din e-post hos en annan och din DNS hos en tredje. Många väljer en separat DNS-part till exempel för att samla alla domäner på ett ställe, för extra funktioner (som en proxy som stoppar attacker), eller för att webbyrån sätter upp det så. Cloudflare är ett känt exempel på detta, men det fungerar likadant hos alla externa DNS-parter.

Principen känner du igen från lektion 2.1: den som driver namnservrarna administrerar DNS:en. Ändrar du namnservrarna till en annan part räknas posterna hos din tidigare DNS-administratör inte längre. Inte ens om din webbhost eller e-postleverantör fortfarande har allt korrekt inställt där.

Ordningen: förbered först, byt sedan

1. Gör en översikt av din nuvarande zon. Exportera den, ta en säkerhetskopia i din panel eller gör skärmbilder av alla poster (lektion 6.3).
2. Lägg upp alla poster hos den nya parten i förväg. Många parter läser automatiskt in dina befintliga poster. Det är smidigt, men inte fullständigt: de hittar bara namn de kan gissa sig till. Poster som x._domainkey, _dmarc, verifierings-TXT-poster på subdomäner eller en autodiscover missas ofta. Jämför därför med din översikt från steg 1.
3. Sänk eventuellt TTL i förväg hos din nuvarande part (lektion 6.3).
4. Ändra namnservrarna hos din registrar till de namnservrar som den nya parten anger.
5. Kontrollera efter bytet att webbplats, e-post och certifikat fungerar, och att den nya parten ser namnservrarna som aktiva.

Vissa registry, som DENIC för .de, kontrollerar vid en namnserverändring om din domän redan är förberedd på de nya namnservrarna. Är zonen inte uppsatt där ännu avvisar de ändringen. Även därför: förbered först.

Vilka poster måste följa med?

En checklista för en domän med webbplats och e-post. Hämta värdena från din webbhost och din e-postleverantör.

Tänk på subdomäner som du skapat i din hostingpanel. Hos din webbhosts DNS hamnade de ofta automatiskt i zonen, eller fungerade de via en wildcard (*). Hos en extern part måste du skapa dem själv, eller själv sätta upp en wildcard (lektion 3.3). Skapar du senare en ny subdomän i din hostingpanel, lägg då till den hos DNS-parten också.

Och DKIM-nyckeln från din webbhost: den finns i zonen hos din webbhost, till exempel som x._domainkey. Kopiera namnet och hela värdet till den nya parten. Ett vanligt misstag är att värdet klipps av på vägen eller att det kommer in mellanslag.

Proxyn: orange eller grå

Cloudflare och liknande tjänster har förutom DNS också en proxy. Hos Cloudflare ser du det som ett litet moln bakom varje A-, AAAA- och CNAME-post:

• Orange (proxied): DNS:en returnerar inte din servers IP-adress utan en adress hos Cloudflare. Besökare går först till Cloudflare, och Cloudflare skickar vidare till din server. Det fungerar bara för webbplatser (http och https).
• Grå (DNS only): DNS:en returnerar helt enkelt den riktiga IP-adressen. Cloudflare sköter då bara DNS:en.

Konsekvenser:

• E-post går inte via proxyn. Sätt posten för mail och allt som ditt e-postprogram eller andra e-postservrar använder till grått. Står mail på orange pekar din MX mot en adress hos Cloudflare som inte tar emot e-post.
• Även FTP, SSH och annan icke-webbtrafik går inte via proxyn. Använd ett namn med ett grått moln för det, eller servernamnet från din webbhost.
• Certifikat. Med orange ser en certifikatutfärdare som Let's Encrypt inte din server direkt. Den automatiska certifikatbegäran hos din webbhost kan då misslyckas. Sätt proxyn tillfälligt på grått tills din webbhost har certifikatet, eller använd en metod som fungerar via DNS.
• SSL-läge. Sätt SSL-läget hos Cloudflare till Full (strict) om din server har ett giltigt certifikat. I läget "Flexible" är trafiken mellan Cloudflare och din server inte krypterad, och det läget orsakar dessutom ofta en oändlig omdirigeringsloop på webbplatser som själva redan skickar till https.

CNAME på den nakna domänen?

En vanlig CNAME på @ går inte (lektion 3.2). Vissa DNS-parter erbjuder en lösning för det, under namn som CNAME flattening, ALIAS eller ANAME. Du fyller då i ett namn för @, och DNS-parten slår själv upp motsvarande IP-adress och returnerar den som en A- eller AAAA-post. För omvärlden finns det alltså helt enkelt en A-post.

Praktiskt när en plattform bara ger dig ett namn. Men det är inte standard-DNS: flyttar du till en part som inte stöder det måste du åter skapa en A-post med en IP-adress.

Känna igen problem

• "Jag har ändrat en post och inget händer." Kolla vilka namnservrar din domän använder (lektion 8.2). Finns de hos den externa parten, ändra posten där.
• Webbplatsen fungerar, e-posten inte. Saknas MX, saknas A-posten för mail, eller står mail på orange?
• E-post kommer fram, men oftare i skräpposten. DKIM-posten glömdes bort eller klipptes av, eller SPF togs inte med.
• Certifikatfel eller omdirigeringsloop. Proxy aktiverad med SSL-läge Flexible, eller så kunde din webbhost inte begära ett certifikat.

I praktiken: så här ser det ut i en panel

I exempelpanelen Mitt WebOké ser du högst upp på fliken DNS vilka namnservrar din domän använder. Finns där externa namnservrar har ändringar i Mitt WebOké eller DirectAdmin ingen effekt. Värdena du behöver hos den externa parten (IP-adress, servernamn för MX:en, DKIM-nyckel vid x._domainkey) hittar du i DNS-administration i DirectAdmin eller i välkomstmejlet för ditt paket. Namnservrarna ändrar du på domänsidan vid kortet Namnservrar.

I andra paneler, som cPanel, Plesk eller din registrars DNS-skärm, ser du samma poster. Hos den externa parten heter knapparna annorlunda, men du fyller i samma fält: namn, typ, värde, TTL, och hos Cloudflare proxyläget.

Sammanfattning

• Den som driver namnservrarna administrerar DNS:en. Poster hos din tidigare part räknas inte längre.
• Lägg upp alla poster hos den nya parten först och jämför med en översikt av din gamla zon, byt sedan namnservrarna.
• Glöm inte: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, verifieringar och subdomäner.
• E-post och annan icke-webbtrafik går inte via en proxy: sätt de posterna till "DNS only" (grått).
• Använd SSL-läget Full (strict) vid en proxy. CNAME flattening fungerar bara hos parter som erbjuder det.

Quiz

Uppgift

Uppgift Z7.5: Känna igen extern DNS.

1. Sök upp namnservrarna för cloudflare.com. Vilken domän slutar de på?
2. Sök upp A-posterna för cloudflare.com. Skriv av en A-post. Det är adresser hos Cloudflare själva: så fungerar en proxy.
3. Välj en domän du känner till (din egen domän duger). Sök upp namnservrarna och fyll i domännamnet och namnservrarna. På namnservrarnas namn ser du hos vilken part DNS:en administreras.

Kontrollen hämtar posterna live vid inlämningen.

Läs mer

Dessa sidor beskriver stegen i WebOkés paneler (DirectAdmin och Mitt WebOké). I andra paneler fungerar det på samma sätt.

• Använd egna eller externa nameservers (som Cloudflare) för din domän
• Ställ in DKIM när DNS ligger på en extern server
• DirectAdmin-guide 5.12: DNS i Mitt WebOké och hos externa namnservrar som Cloudflare
• WebOké manual 5.3: Ändra namnservrar
• DirectAdmin-guide 6.6: Let's Encrypt fungerar inte: orsaker och lösningar