Il Suo DNS presso un altro fornitore, come Cloudflare

Modulo 7: Collegare servizi esterni · Tempo di lettura: 9 minuti

Obiettivo della lezione: Dopo questa lezione saprà trasferire il DNS del Suo dominio a un fornitore DNS esterno, saprà quali record portare con sé e come gestire un proxy.

Concetti chiave: nameserver esterni, assunzione della zona, record da portare con sé (A, AAAA, MX, SPF, DKIM, DMARC, sottodomini, verifiche), proxy (nuvola arancione e grigia), certificato dietro un proxy (Full strict), CNAME flattening

Perché il Suo DNS altrove

Può avere il Suo sito web presso un fornitore, la Sua posta elettronica presso un secondo e il Suo DNS presso un terzo. Alcune persone scelgono un fornitore DNS separato ad esempio perché vogliono avere tutti i loro domini in un unico posto, per funzioni aggiuntive (come un proxy che blocca gli attacchi) o perché il loro sviluppatore web lo imposta così. Cloudflare ne è un esempio noto, ma il funzionamento è lo stesso presso qualsiasi fornitore DNS esterno.

Il principio Le è noto dalla lezione 2.1: chi gestisce i nameserver amministra il DNS. Se imposta i nameserver verso un altro fornitore, i record presso il Suo precedente gestore DNS non contano più. Nemmeno se il Suo host web o provider di posta ha ancora tutto impostato correttamente lì.

L'ordine: prima preparare, poi passare

1. Crei una panoramica della Sua zona attuale. La esporti, faccia un backup nel Suo pannello o faccia screenshot di tutti i record (lezione 6.3).
2. Prepari tutti i record presso il nuovo fornitore. Molti fornitori importano automaticamente i record esistenti. Questo è comodo, ma non completo: trovano solo i nomi che riescono a indovinare. Record come x._domainkey, _dmarc, record TXT di verifica su sottodomini o un autodiscover vengono spesso tralasciati. Confronti quindi con la panoramica creata al passo 1.
3. Abbassi eventualmente in anticipo il TTL presso il Suo fornitore attuale (lezione 6.3).
4. Modifichi i nameserver presso il Suo registrar impostando i nameserver indicati dal nuovo fornitore.
5. Verifichi dopo il passaggio se il sito web, la posta elettronica e il certificato funzionano, e se il nuovo fornitore considera i nameserver attivi.

Alcuni registri, come DENIC per .de, verificano al momento di una modifica dei nameserver se il Suo dominio è già pronto sui nuovi nameserver. Se la zona non è ancora presente, rifiutano la modifica. Anche per questo: prima preparare tutto.

Quali record deve portare con sé?

Una checklist per un dominio con sito web e posta elettronica. Riprenda i valori dal Suo host web e dal Suo provider di posta.

Faccia attenzione ai sottodomini creati nel Suo pannello di hosting. Presso il DNS del Suo host web spesso finivano automaticamente nella zona, oppure funzionavano tramite un wildcard (*). Presso un fornitore esterno deve crearli Lei stesso, oppure impostare Lei stesso un wildcard (lezione 3.3). Se in seguito crea un nuovo sottodominio nel Suo pannello di hosting, lo imposti anche presso il fornitore DNS.

E la chiave DKIM del Suo host web: si trova nella zona presso il Suo host web, ad esempio come x._domainkey. Copi il nome e l'intero valore verso il nuovo fornitore. Un errore comune è che il valore venga tagliato durante la copia o che vi finiscano degli spazi.

Il proxy: arancione o grigio

Cloudflare e servizi simili dispongono, oltre al DNS, di un proxy. Presso Cloudflare lo vede come una nuvoletta dietro ogni record A, AAAA e CNAME:

• Arancione (proxied): il DNS non restituisce l'indirizzo IP del Suo server, ma un indirizzo di Cloudflare. I visitatori vanno prima su Cloudflare, e Cloudflare inoltra la richiesta al Suo server. Questo funziona solo per siti web (http e https).
• Grigio (DNS only): il DNS restituisce semplicemente l'indirizzo IP reale. Cloudflare in questo caso si occupa solo del DNS.

Conseguenze:

• La posta non passa per il proxy. Imposti su grigio il record per mail e tutto ciò che il Suo programma di posta o altri server di posta utilizzano. Se mail è su arancione, il Suo MX punta a un indirizzo di Cloudflare che non accetta posta.
• Anche FTP, SSH e altro traffico non web non passano per il proxy. Usi per questo un nome con nuvola grigia, oppure il nome server del Suo host web.
• Certificati. Con l'arancione, un'autorità di certificazione come Let's Encrypt non vede direttamente il Suo server. La richiesta automatica di un certificato presso il Suo host web può quindi fallire. Imposti temporaneamente il proxy su grigio finché il Suo host web non ha ottenuto il certificato, oppure usi un metodo che funziona tramite DNS.
• Modalità SSL. Imposti presso Cloudflare la modalità SSL su Full (strict) se il Suo server dispone di un certificato valido. Nella modalità "Flexible" il traffico tra Cloudflare e il Suo server non è crittografato, e tale modalità causa inoltre spesso un ciclo di reindirizzamento infinito nei siti web che già inviano verso https autonomamente.

CNAME sul dominio principale?

Un normale CNAME su @ non è possibile (lezione 3.2). Alcuni fornitori DNS offrono una soluzione, con nomi come CNAME flattening, ALIAS o ANAME. Lei inserisce un nome per @, e il fornitore DNS cerca da sé l'indirizzo IP corrispondente e lo restituisce come record A o AAAA. Verso l'esterno risulta quindi semplicemente presente un record A.

Utile se una piattaforma Le fornisce solo un nome. Ma non è DNS standard: se trasferisce il dominio verso un fornitore che non lo supporta, dovrà nuovamente creare un record A con un indirizzo IP.

Riconoscere i problemi

• "Ho modificato un record e non succede nulla." Verifichi quali nameserver utilizza il Suo dominio (lezione 8.2). Se si trovano presso il fornitore esterno, modifichi il record lì.
• Il sito web funziona, la posta no. Manca l'MX, manca il record A per mail, oppure mail è su arancione?
• La posta arriva, ma più spesso nello spam. Record DKIM dimenticato o tagliato, oppure SPF non ripreso.
• Errore di certificato o ciclo di reindirizzamento. Proxy attivo con modalità SSL Flexible, oppure il Suo host web non è riuscito a richiedere un certificato.

Nella pratica: ecco come si presenta in un pannello

Nel pannello di esempio Mio WebOké vede nella scheda DNS, in alto, quali nameserver utilizza il Suo dominio. Se vi sono nameserver esterni, le modifiche in Mio WebOké o DirectAdmin non hanno alcun effetto. I valori di cui ha bisogno presso il fornitore esterno (indirizzo IP, nome server per l'MX, chiave DKIM presso x._domainkey) li trova in Amministrazione DNS di DirectAdmin oppure nell'email di benvenuto del Suo pacchetto. I nameserver si modificano nella pagina del dominio, nella scheda Nameserver.

In altri pannelli, come cPanel, Plesk o la schermata DNS del Suo registrar, vede gli stessi record. Presso il fornitore esterno i pulsanti hanno nomi diversi, ma compila gli stessi campi: nome, tipo, valore, TTL, e presso Cloudflare la modalità proxy.

Riepilogo

• Chi gestisce i nameserver amministra il DNS. I record presso il Suo fornitore precedente non contano più.
• Prepari prima tutti i record presso il nuovo fornitore e confronti con una panoramica della Sua vecchia zona; solo dopo passi ai nuovi nameserver.
• Non dimentichi: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, verifiche e sottodomini.
• La posta e altro traffico non web non passano per un proxy: imposti tali record su "DNS only" (grigio).
• Con un proxy usi la modalità SSL Full (strict). Il CNAME flattening funziona solo presso i fornitori che lo offrono.

Quiz

Esercizio

Esercizio Z7.5: Riconoscere il DNS esterno.

1. Cerchi i nameserver di cloudflare.com. Su quale dominio terminano?
2. Cerchi i record A di cloudflare.com. Trascriva un record A. Sono indirizzi di Cloudflare stesso: è così che funziona un proxy.
3. Scelga un dominio che conosce (può usare anche il Suo). Cerchi i nameserver e inserisca il nome del dominio e i nameserver. Dal nome dei nameserver si capisce presso quale fornitore viene gestito il DNS.

Il controllo interroga i record in tempo reale al momento della consegna.

Per saperne di più

Queste pagine descrivono i passaggi nei pannelli di WebOké (DirectAdmin e Mio WebOké). In altri pannelli il funzionamento è analogo.

• Utilizzare nameserver propri o esterni (come Cloudflare) per il Suo dominio
• Configurare DKIM quando il DNS è gestito da un server esterno
• Guida DirectAdmin 5.12: DNS in Mio WebOké e con nameserver esterni come Cloudflare
• Guida WebOké 5.3: Modifica nameserver
• Guida DirectAdmin 6.6: Let's Encrypt non funziona: cause e soluzioni