DNS:si toisella palveluntarjoajalla, kuten Cloudflare

Moduuli 7: Ulkoisten palveluiden yhdistäminen · Lukuaika: 9 minuuttia

Oppitunnin tavoite: Tämän oppitunnin jälkeen osaat siirtää verkkotunnuksesi DNS:n ulkoiselle DNS-palveluntarjoajalle, tiedät mitkä tietueet pitää ottaa mukaan ja miten toimit proxyn kanssa.

Keskeiset käsitteet: ulkoiset nimipalvelimet, vyöhykkeen siirto, mukaan otettavat tietueet (A, AAAA, MX, SPF, DKIM, DMARC, aliverkkotunnukset, vahvistukset), proxy (oranssi ja harmaa pilvi), todistus proxyn takana (Full strict), CNAME flattening

Miksi DNS jossain muualla

Voit pitää verkkosivustosi yhdellä palveluntarjoajalla, sähköpostisi toisella ja DNS:si kolmannella. Ihmiset valitsevat erillisen DNS-palveluntarjoajan esimerkiksi siksi, että haluavat kaikki verkkotunnuksensa yhteen paikkaan, tarvitsevat lisäominaisuuksia (kuten proxyn, joka torjuu hyökkäyksiä) tai koska verkkosivujen rakentaja järjestää sen niin. Cloudflare on tästä tunnettu esimerkki, mutta periaate on sama kaikilla ulkoisilla DNS-palveluntarjoajilla.

Periaate tutuksi jo oppitunnilta 2.1: se, joka ajaa nimipalvelimia, hallinnoi DNS:ää. Kun vaihdat nimipalvelimet toiselle palveluntarjoajalle, edellisen DNS-hallinnoijan tietueilla ei ole enää merkitystä. Ei vaikka verkkosivustosi isännöijä tai sähköpostipalveluntarjoajasi olisikin pitänyt kaiken siellä hyvässä järjestyksessä.

Järjestys: ensin valmistelu, sitten vaihto

Tee yhteenveto nykyisestä vyöhykkeestäsi. Vie se ulos, tee varmuuskopio hallintapaneelissasi tai ota kuvakaappaukset kaikista tietueista (oppitunti 6.3).
Valmistele kaikki tietueet uudelle palveluntarjoajalle. Moni palveluntarjoaja lukee olemassa olevat tietueesi automaattisesti. Se on kätevää, mutta ei täydellistä: ne löytävät vain nimiä, jotka ne osaavat arvata. Tietueet kuten x._domainkey, _dmarc, vahvistus-TXT-tietueet aliverkkotunnuksilla tai autodiscover jäävät usein huomaamatta. Vertaa siis vaiheen 1 yhteenvetoon.
Laske tarvittaessa TTL alas etukäteen nykyisellä palveluntarjoajallasi (oppitunti 6.3).
Vaihda nimipalvelimet verkkotunnusvälittäjälläsi uuden palveluntarjoajan antamiin nimipalvelimiin.
Tarkista vaihdon jälkeen, että verkkosivusto, sähköposti ja todistus toimivat, ja että uusi palveluntarjoaja näkee nimipalvelimet aktiivisina.

Jotkin rekisterinpitäjät, kuten DENIC .de-tunnuksille, tarkistavat nimipalvelinmuutoksen yhteydessä, onko vyöhyke jo valmiina uusilla nimipalvelimilla. Jos vyöhykettä ei vielä löydy, muutos hylätään. Senkin takia: valmistele ensin.

Mitkä tietueet pitää ottaa mukaan?

Tarkistuslista verkkotunnukselle, jolla on verkkosivusto ja sähköposti. Ota arvot verkkosivustosi isännöijältä ja sähköpostipalveluntarjoajaltasi.

Tyyppi	Nimi	Mihin	Mitä tapahtuu, jos unohdat sen
A ja AAAA	`@`	verkkosivustosi	verkkosivusto ei toimi
A, AAAA tai CNAME	`www`	verkkosivustosi www:llä	`www.` ei toimi
A	`mail` (tai nimi, jota palveluntarjoajasi käyttää)	sähköpostipalvelimesi	sähköpostiohjelma ei löydä palvelinta; MX osoitteeseen `mail` ei toimi
MX	`@`	saapuva sähköposti	et vastaanota sähköpostia
TXT	`@`	SPF ja vahvistuskoodit	sähköposti joutuu useammin roskapostiin; palvelut menettävät vahvistuksensa
TXT tai CNAME	`<selector>._domainkey`	DKIM	DKIM epäonnistuu, sähköposti useammin roskapostissa tai hylätään
TXT	`_dmarc`	DMARC	DMARC-käytäntöä ei enää ole
CNAME	`autodiscover`	Outlook-asetukset (Microsoft 365)	Outlook ei löydä asetuksia
SRV, CAA	erilaisia	puhelinpalvelut, Teams, todistukset	palvelu ei toimi, tai todistus hylätään
A tai CNAME	jokainen aliverkkotunnus (`shop`, `cloud`, `test`)	aliverkkotunnukset	aliverkkotunnus ei toimi

Huomioi aliverkkotunnukset, jotka olet luonut hallintapaneelissasi. Verkkosivustosi isännöijän DNS:ssä ne ilmestyivät usein automaattisesti vyöhykkeeseen, tai ne toimivat wildcardin (*) kautta. Ulkoisella palveluntarjoajalla sinun täytyy luoda ne itse, tai asettaa wildcard itse (oppitunti 3.3). Jos luot myöhemmin uuden aliverkkotunnuksen hallintapaneelissasi, lisää se myös DNS-palveluntarjoajalle.

Ja verkkosivustosi isännöijän DKIM-avain: se löytyy verkkosivustosi isännöijän vyöhykkeestä, esimerkiksi nimellä x._domainkey. Kopioi nimi ja koko arvo uudelle palveluntarjoajalle. Yleinen virhe on, että arvo katkeaa matkalla tai siihen tulee välilyöntejä.

Proxy: oranssi vai harmaa

Cloudflarella ja vastaavilla palveluilla on DNS:n lisäksi proxy. Cloudflarella näet sen pienenä pilvenä jokaisen A-, AAAA- ja CNAME-tietueen vieressä:

Oranssi (proxied): DNS ei palauta palvelimesi IP-osoitetta, vaan Cloudflaren osoitteen. Vierailijat menevät ensin Cloudflarelle, ja Cloudflare välittää liikenteen edelleen palvelimellesi. Tämä toimii vain verkkosivustoille (http ja https).
Harmaa (DNS only): DNS palauttaa tavallisesti oikean IP-osoitteen. Cloudflare hoitaa silloin vain DNS:n.

Seuraukset:

Sähköposti ei kulje proxyn kautta. Aseta tietue kohteelle mail ja kaikki, mitä sähköpostiohjelmasi tai muut sähköpostipalvelimet käyttävät, harmaaksi. Jos mail on oranssina, MX-tietueesi osoittaa Cloudflaren osoitteeseen, joka ei ota vastaan sähköpostia.
Myös FTP, SSH ja muu kuin verkkosivuliikenne ei kulje proxyn kautta. Käytä niihin nimeä, jolla on harmaa pilvi, tai verkkosivustosi isännöijän palvelimen nimeä.
Todistukset. Oranssin kanssa todistuksen myöntäjä, kuten Let's Encrypt, ei näe palvelintasi suoraan. Todistuksen automaattinen hankinta verkkosivustosi isännöijältä voi tällöin epäonnistua. Aseta proxy tilapäisesti harmaaksi, kunnes verkkosivustosi isännöijä on saanut todistuksen, tai käytä menetelmää, joka toimii DNS:n kautta.
SSL-tila. Aseta Cloudflarella SSL-tilaksi Full (strict), jos palvelimellasi on voimassa oleva todistus. Tilassa "Flexible" liikenne Cloudflaren ja palvelimesi välillä ei ole salattu, ja tämä tila aiheuttaa lisäksi usein loputtoman uudelleenohjaussilmukan verkkosivustoilla, jotka itse jo ohjaavat https:ään.

CNAME paljaalle verkkotunnukselle?

Tavallinen CNAME kohteessa @ ei ole mahdollinen (oppitunti 3.2). Jotkin DNS-palveluntarjoajat tarjoavat tähän ratkaisun, nimillä kuten CNAME flattening, ALIAS tai ANAME. Syötät silloin nimen kohteelle @, ja DNS-palveluntarjoaja hakee itse vastaavan IP-osoitteen ja palauttaa sen A- tai AAAA-tietueena. Ulkopuolisille näkyy siis tavallinen A-tietue.

Kätevää, kun alusta antaa vain nimen. Mutta tämä ei ole standardi-DNS: jos siirryt palveluntarjoajalle, joka ei tunne tätä ominaisuutta, joudut taas luomaan A-tietueen IP-osoitteella.

Ongelmien tunnistaminen

"Muutin tietueen, eikä mitään tapahdu." Tarkista, mitä nimipalvelimia verkkotunnuksesi käyttää (oppitunti 8.2). Jos ne ovat ulkoisella palveluntarjoajalla, muuta tietue siellä.
Verkkosivusto toimii, sähköposti ei. Puuttuuko MX, puuttuuko A-tietue kohteelle mail, vai onko mail oranssina?
Sähköposti saapuu, mutta useammin roskapostiin. DKIM-tietue unohtunut tai katkennut, tai SPF:ää ei otettu mukaan.
Todistusvirhe tai uudelleenohjaussilmukka. Proxy päällä SSL-tilassa Flexible, tai verkkosivustosi isännöijä ei saanut hankittua todistusta.

Käytännössä: näin se näyttää paneelissa

Esimerkkipaneelissa Oma WebOké näet DNS-välilehden yläosassa, mitä nimipalvelimia verkkotunnuksesi käyttää. Jos siellä on ulkoiset nimipalvelimet, muutoksilla Oma WebOké:ssa tai DirectAdmin:ssa ei ole vaikutusta. Ulkoisella palveluntarjoajalla tarvittavat arvot (IP-osoite, palvelimen nimi MX:lle, DKIM-avain kohteessa x._domainkey) löydät DirectAdminin DNS Administration -osiosta tai paketin tervetuliaisviestistä. Nimipalvelimet vaihdat verkkotunnuksen sivulla Nameservers-kortista.

Muissa paneeleissa, kuten cPanel, Plesk tai verkkotunnusvälittäjäsi DNS-näkymä, näet samat tietueet. Ulkoisella palveluntarjoajalla painikkeet ovat nimetty eri tavalla, mutta täytät samat kentät: nimi, tyyppi, arvo, TTL, ja Cloudflarella proxy-tila.

Yhteenveto

Se, joka ajaa nimipalvelimia, hallinnoi DNS:ää. Tietueilla edellisellä palveluntarjoajalla ei ole enää merkitystä.
Valmistele ensin kaikki tietueet uudelle palveluntarjoajalle ja vertaa vanhan vyöhykkeesi yhteenvetoon; vaihda sitten nimipalvelimet.
Älä unohda: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, vahvistukset ja aliverkkotunnukset.
Sähköposti ja muu kuin verkkosivuliikenne eivät kulje proxyn kautta: aseta nämä tietueet tilaan "DNS only" (harmaa).
Käytä proxyn kanssa SSL-tilaa Full (strict). CNAME flattening toimii vain palveluntarjoajilla, jotka tarjoavat sen.

Tietovisa

Tehtävä

Tehtävä Z7.5: Ulkoisen DNS:n tunnistaminen.

Etsi cloudflare.com-tunnuksen nimipalvelimet. Mihin verkkotunnukseen ne päättyvät?
Etsi cloudflare.com-tunnuksen A-tietueet. Kirjoita yksi A-tietue muistiin. Ne ovat Cloudflaren omia osoitteita: näin proxy toimii.
Valitse verkkotunnus, jonka tunnet (oma verkkotunnuksesi käy). Etsi nimipalvelimet ja syötä verkkotunnus sekä nimipalvelimet. Nimipalvelinten nimistä näet, kuka hallinnoi DNS:ää.

Tarkistus hakee tietueet suoraan palautuksen yhteydessä.

Lue lisää

Nämä sivut kuvaavat vaiheet WebOkén paneeleissa (DirectAdmin ja Oma WebOké). Muissa paneeleissa toimintaperiaate on sama.

Evästeet WebOkén sivustolla

Evästeasetukset

Välttämättömät

Markkinointi