Din DNS hos en anden udbyder, som Cloudflare

Modul 7: Koble eksterne tjenester til · Læsetid: 9 minutter

Læringsmål: Efter denne lektion kan du overføre DNS'en for dit domæne til en ekstern DNS-udbyder, du ved hvilke records du skal have med, og hvordan du håndterer en proxy.

Nøglebegreber: eksterne navneservere, overtage zone, records der skal med (A, AAAA, MX, SPF, DKIM, DMARC, subdomæner, verifikationer), proxy (orange og grå sky), certifikat bag en proxy (Full strict), CNAME flattening

Hvorfor din DNS et andet sted

Du kan have din hjemmeside hos én udbyder, din e-mail hos en anden og din DNS hos en tredje. Folk vælger en separat DNS-udbyder for eksempel fordi de vil have alle deres domæner samlet ét sted, for ekstra funktioner (som en proxy der stopper angreb), eller fordi deres webbureau sætter det sådan op. Cloudflare er et kendt eksempel på dette, men det fungerer på samme måde hos enhver ekstern DNS-udbyder.

Princippet kender du fra lektion 2.1: den der kører navneserverne, administrerer DNS'en. Hvis du ændrer navneserverne til en anden udbyder, tæller records hos din tidligere DNS-administrator ikke længere. Heller ikke selvom din webhost eller mailudbyder stadig har alt stående pænt der.

Rækkefølgen: først klargøre, så skifte

1. Lav et overblik over din nuværende zone. Eksportér den, lav en backup i dit kontrolpanel, eller tag skærmbilleder af alle records (lektion 6.3).
2. Opsæt alle records hos den nye udbyder. Mange udbydere indlæser dine eksisterende records automatisk. Det er praktisk, men ikke komplet: de finder kun navne de kan gætte. Records som x._domainkey, _dmarc, verifikations-TXT-records på subdomæner eller et autodiscover bliver ofte overset. Sammenlign derfor med dit overblik fra trin 1.
3. Sænk eventuelt TTL'en på forhånd hos din nuværende udbyder (lektion 6.3).
4. Skift navneserverne hos din registrar til de navneservere som den nye udbyder oplyser.
5. Kontrollér efter skiftet om hjemmeside, e-mail og certifikat fungerer, og om den nye udbyder registrerer navneserverne som aktive.

Nogle registries, som DENIC for .de, kontrollerer ved en navneserverændring om dit domæne allerede ligger klar på de nye navneservere. Ligger zonen der ikke endnu, afviser de ændringen. Også derfor: klargør først.

Hvilke records skal med?

En tjekliste for et domæne med hjemmeside og e-mail. Overfør værdierne fra din webhost og din mailudbyder.

Vær opmærksom på subdomæner som du har oprettet i dit hostingpanel. Hos DNS'en for din webhost kom de ofte automatisk ind i zonen, eller de virkede via en wildcard (*). Hos en ekstern udbyder skal du selv oprette dem, eller selv sætte en wildcard (lektion 3.3). Opretter du senere et nyt subdomæne i dit hostingpanel, så sæt det også hos DNS-udbyderen.

Og DKIM-nøglen fra din webhost: den står hos din webhost i zonen, for eksempel som x._domainkey. Kopiér navnet og hele værdien til den nye udbyder. En almindelig fejl er at værdien bliver afkortet undervejs, eller at der kommer mellemrum i den.

Proxyen: orange eller grå

Cloudflare og lignende tjenester har ud over DNS en proxy. Hos Cloudflare ser du det som en lille sky bag hvert A-, AAAA- og CNAME-record:

• Orange (proxied): DNS'en returnerer ikke IP-adressen for din egen server, men en adresse hos Cloudflare. Besøgende går først til Cloudflare, og Cloudflare sender det videre til din server. Det virker kun for hjemmesider (http og https).
• Grå (DNS only): DNS'en returnerer bare den rigtige IP-adresse. Cloudflare laver så kun DNS.

Konsekvenser:

• Mail går ikke gennem proxyen. Sæt recordet for mail og alt det dit mailprogram eller andre mailservere bruger på grå. Står mail på orange, peger din MX på en adresse hos Cloudflare, der ikke modtager mail.
• Også FTP, SSH og anden ikke-webtrafik går ikke gennem proxyen. Brug til det et navn med en grå sky, eller servernavnet fra din webhost.
• Certifikater. Med orange ser en certifikatudsteder som Let's Encrypt ikke din server direkte. Automatisk anmodning om et certifikat hos din webhost kan derfor mislykkes. Sæt proxyen midlertidigt på grå indtil din webhost har certifikatet, eller brug en metode der fungerer via DNS.
• SSL-tilstand. Sæt hos Cloudflare SSL-tilstanden på Full (strict) hvis din server har et gyldigt certifikat. I tilstanden "Flexible" er trafikken mellem Cloudflare og din server ikke krypteret, og den tilstand medfører desuden ofte en endeløs omdirigeringsløkke på hjemmesider der allerede selv sender videre til https.

CNAME på det rene domæne?

Et almindeligt CNAME på @ kan ikke lade sig gøre (lektion 3.2). Nogle DNS-udbydere tilbyder en løsning til det, under navne som CNAME flattening, ALIAS eller ANAME. Du indtaster så et navn for @, og DNS-udbyderen slår selv den tilhørende IP-adresse op og returnerer den som A- eller AAAA-record. For omverdenen står der altså bare et almindeligt A-record.

Praktisk hvis en platform kun giver dig et navn. Men det er ikke standard-DNS: flytter du til en udbyder der ikke kender det, skal du igen oprette et A-record med en IP-adresse.

Genkend problemer

• "Jeg har ændret et record, og der sker ingenting." Se hvilke navneservere dit domæne bruger (lektion 8.2). Står de hos den eksterne udbyder, så ret recordet der.
• Hjemmesiden virker, mail ikke. Mangler MX, mangler A-recordet for mail, eller står mail på orange?
• Mail ankommer, men oftere i spam. DKIM-record glemt eller afkortet, eller SPF ikke overtaget.
• Certifikatfejl eller omdirigeringsløkke. Proxy slået til med SSL-tilstand Flexible, eller din webhost kunne ikke anmode om et certifikat.

I praksis: sådan ser det ud i et panel

I eksempelpanelet Mit WebOké ser du øverst på fanen DNS hvilke navneservere dit domæne bruger. Står der eksterne navneservere, har ændringer i Mit WebOké eller DirectAdmin ingen effekt. De værdier du skal bruge hos den eksterne udbyder (IP-adresse, servernavn til MX, DKIM-nøgle ved x._domainkey) finder du i DNS-administration i DirectAdmin eller i velkomstmailen til din pakke. Navneserverne ændrer du på domænesiden ved kortet Navneservere.

I andre paneler, som cPanel, Plesk eller DNS-skærmen hos din registrar, ser du de samme records. Hos den eksterne udbyder hedder knapperne noget andet, men du udfylder de samme felter: navn, type, værdi, TTL, og hos Cloudflare proxytilstanden.

Sammenfatning

• Den der kører navneserverne, administrerer DNS'en. Records hos din tidligere udbyder tæller ikke længere.
• Opsæt først alle records hos den nye udbyder og sammenlign med et overblik over din gamle zone; skift derefter navneserverne.
• Glem ikke: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, verifikationer og subdomæner.
• Mail og anden ikke-webtrafik går ikke gennem en proxy: sæt disse records på "DNS only" (grå).
• Brug ved en proxy SSL-tilstanden Full (strict). CNAME flattening fungerer kun hos udbydere der tilbyder det.

Quiz

Opgave

Opgave Z7.5: Genkend ekstern DNS.

1. Find navneserverne for cloudflare.com. Hvilket domæne ender de på?
2. Find A-records for cloudflare.com. Skriv ét A-record ned. Det er adresser fra Cloudflare selv: sådan fungerer en proxy.
3. Vælg et domæne du kender (dit eget domæne er tilladt). Find navneserverne og indtast domænenavnet og navneserverne. Ud fra navnene på navneserverne kan du se hos hvilken udbyder DNS'en administreres.

Kontrollen henter records live ved indlevering.

Læs videre

Disse sider beskriver trinene i panelerne hos WebOké (DirectAdmin og Mit WebOké). I andre paneler fungerer det på samme måde.

• Brug dine egne eller eksterne nameservers (som Cloudflare) til dit domæne
• Opsæt DKIM, når DNS kører via en ekstern server
• DirectAdmin vejledning 5.12: DNS i Mit WebOké og hos eksterne navneservere som Cloudflare
• WebOké vejledning 5.3: Skift navneservere
• DirectAdmin vejledning 6.6: Let's Encrypt fejler: årsager og løsninger