Ihr DNS bei einem anderen Anbieter, wie Cloudflare

Modul 7: Externe Dienste verknüpfen · Lesezeit: 9 Minuten

Lernziel: Nach dieser Lektion können Sie das DNS Ihrer Domain zu einem externen DNS-Anbieter übertragen, wissen Sie, welche Einträge Sie mitnehmen müssen und wie Sie mit einem Proxy umgehen.

Kernbegriffe: externe Nameserver, Zone übernehmen, Einträge, die mitmüssen (A, AAAA, MX, SPF, DKIM, DMARC, Subdomains, Verifizierungen), Proxy (orangefarbene und graue Wolke), Zertifikat hinter einem Proxy (Full strict), CNAME-Flattening

Warum Ihr DNS woanders liegt

Sie können Ihre Website bei einem Anbieter haben, Ihre E-Mail bei einem zweiten und Ihr DNS bei einem dritten. Manche entscheiden sich für einen separaten DNS-Anbieter, zum Beispiel weil sie alle ihre Domains an einem Ort verwalten möchten, wegen zusätzlicher Funktionen (wie einem Proxy, der Angriffe abwehrt) oder weil ihr Website-Baukasten es so einrichtet. Cloudflare ist dafür ein bekanntes Beispiel, aber bei jedem externen DNS-Anbieter funktioniert es gleich.

Das Prinzip kennen Sie aus Lektion 2.1: Wer die Nameserver betreibt, verwaltet das DNS. Stellen Sie die Nameserver auf einen anderen Anbieter um, zählen die Einträge bei Ihrem bisherigen DNS-Verwalter nicht mehr. Auch nicht, wenn Ihr Webhost oder E-Mail-Anbieter dort noch alles ordentlich stehen hat.

Die Reihenfolge: erst vorbereiten, dann umstellen

1. Erstellen Sie eine Übersicht Ihrer aktuellen Zone. Exportieren Sie sie, erstellen Sie ein Backup in Ihrem Panel oder machen Sie Screenshots aller Einträge (Lektion 6.3).
2. Richten Sie alle Einträge beim neuen Anbieter ein. Viele Anbieter lesen Ihre bestehenden Einträge automatisch ein. Das ist praktisch, aber nicht vollständig: Sie finden nur Namen, die sie erraten können. Einträge wie x._domainkey, _dmarc, Verifizierungs-TXT-Einträge auf Subdomains oder ein autodiscover werden oft übersehen. Vergleichen Sie deshalb mit Ihrer Übersicht aus Schritt 1.
3. Senken Sie eventuell vorab die TTL bei Ihrem aktuellen Anbieter (Lektion 6.3).
4. Ändern Sie die Nameserver bei Ihrem Registrar auf die Nameserver, die der neue Anbieter angibt.
5. Prüfen Sie nach der Umstellung, ob Website, E-Mail und Zertifikat funktionieren und ob der neue Anbieter die Nameserver als aktiv erkennt.

Manche Registries, wie DENIC eG für .de, prüfen bei einer Nameserveränderung, ob Ihre Domain auf den neuen Nameservern bereits eingerichtet ist. Ist die Zone dort noch nicht vorhanden, wird die Änderung verweigert. Auch deshalb gilt: erst vorbereiten.

Welche Einträge müssen mit?

Eine Checkliste für eine Domain mit Website und E-Mail. Übernehmen Sie die Werte von Ihrem Webhost und Ihrem E-Mail-Anbieter.

Achten Sie auf Subdomains, die Sie in Ihrem Hosting-Panel angelegt haben. Beim DNS Ihres Webhosts landeten diese oft automatisch in der Zone oder funktionierten über ein Wildcard (*). Bei einem externen Anbieter müssen Sie sie selbst anlegen oder selbst ein Wildcard setzen (Lektion 3.3). Legen Sie später eine neue Subdomain in Ihrem Hosting-Panel an, tragen Sie sie auch beim DNS-Anbieter ein.

Und der DKIM-Schlüssel Ihres Webhosts: der steht bei Ihrem Webhost in der Zone, zum Beispiel als x._domainkey. Kopieren Sie den Namen und den gesamten Wert zum neuen Anbieter. Ein häufiger Fehler ist, dass der Wert unterwegs abgeschnitten wird oder Leerzeichen hinzukommen.

Der Proxy: orange oder grau

Cloudflare und vergleichbare Dienste haben neben DNS auch einen Proxy. Bei Cloudflare sehen Sie das als Wölkchen hinter jedem A-, AAAA- und CNAME-Eintrag:

• Orange (proxied): Das DNS gibt nicht die IP-Adresse Ihres Servers zurück, sondern eine Adresse von Cloudflare. Besucher gehen zuerst zu Cloudflare, und Cloudflare leitet sie an Ihren Server weiter. Das funktioniert nur für Websites (http und https).
• Grau (DNS only): Das DNS gibt einfach die echte IP-Adresse zurück. Cloudflare übernimmt dann nur das DNS.

Folgen:

• Mail läuft nicht über den Proxy. Setzen Sie den Eintrag für mail und alles, was Ihr Mailprogramm oder andere Mailserver verwenden, auf grau. Steht mail auf orange, zeigt Ihr MX auf eine Adresse von Cloudflare, die keine Mail annimmt.
• Auch FTP, SSH und anderer Nicht-Webverkehr läuft nicht über den Proxy. Verwenden Sie dafür einen Namen mit grauer Wolke oder den Servernamen Ihres Webhosts.
• Zertifikate. Mit orange sieht ein Zertifikataussteller wie Let's Encrypt Ihren Server nicht direkt. Die automatische Anforderung eines Zertifikats bei Ihrem Webhost kann dann fehlschlagen. Setzen Sie den Proxy vorübergehend auf grau, bis Ihr Webhost das Zertifikat hat, oder verwenden Sie eine Methode, die über DNS funktioniert.
• SSL-Modus. Setzen Sie bei Cloudflare den SSL-Modus auf Full (strict), wenn Ihr Server ein gültiges Zertifikat hat. Im Modus "Flexible" ist der Verkehr zwischen Cloudflare und Ihrem Server nicht verschlüsselt, und dieser Modus verursacht außerdem häufig eine endlose Weiterleitungsschleife bei Websites, die selbst bereits auf https umleiten.

CNAME auf der nackten Domain?

Ein gewöhnlicher CNAME auf @ ist nicht möglich (Lektion 3.2). Manche DNS-Anbieter bieten dafür eine Lösung, unter Namen wie CNAME-Flattening, ALIAS oder ANAME. Sie tragen dann einen Namen für @ ein, und der DNS-Anbieter sucht selbst die zugehörige IP-Adresse heraus und gibt sie als A- oder AAAA-Eintrag zurück. Für die Außenwelt steht also einfach ein A-Eintrag.

Praktisch, wenn eine Plattform Ihnen nur einen Namen gibt. Aber es ist kein Standard-DNS: Ziehen Sie zu einem Anbieter um, der es nicht kennt, müssen Sie wieder einen A-Eintrag mit einer IP-Adresse anlegen.

Probleme erkennen

• "Ich habe einen Eintrag geändert, und es passiert nichts." Prüfen Sie, welche Nameserver Ihre Domain verwendet (Lektion 8.2). Stehen sie beim externen Anbieter, ändern Sie den Eintrag dort.
• Website funktioniert, Mail nicht. Fehlt der MX-Eintrag, fehlt der A-Eintrag für mail, oder steht mail auf orange?
• Mail kommt an, landet aber häufiger im Spam. DKIM-Eintrag vergessen oder abgeschnitten, oder SPF nicht übernommen.
• Zertifikatsfehler oder Weiterleitungsschleife. Proxy aktiv mit SSL-Modus Flexible, oder Ihr Webhost konnte kein Zertifikat anfordern.

In der Praxis: so sieht es in einem Panel aus

Im Beispielpanel Mein WebOké sehen Sie auf dem Reiter DNS oben, welche Nameserver Ihre Domain verwendet. Stehen dort externe Nameserver, haben Änderungen in Mein WebOké oder DirectAdmin keine Wirkung. Die Werte, die Sie beim externen Anbieter benötigen (IP-Adresse, Servername für den MX, DKIM-Schlüssel bei x._domainkey), finden Sie in der DNS-Verwaltung von DirectAdmin oder in der Willkommens-E-Mail Ihres Pakets. Die Nameserver ändern Sie auf der Domainseite bei der Karte Nameserver.

In anderen Panels, wie cPanel, Plesk oder dem DNS-Bildschirm Ihres Registrars, sehen Sie dieselben Einträge. Beim externen Anbieter heißen die Schaltflächen anders, aber Sie füllen dieselben Felder aus: Name, Typ, Wert, TTL und bei Cloudflare den Proxy-Modus.

Zusammenfassung

• Wer die Nameserver betreibt, verwaltet das DNS. Einträge beim vorherigen Anbieter zählen nicht mehr.
• Richten Sie zuerst alle Einträge beim neuen Anbieter ein und vergleichen Sie mit einer Übersicht Ihrer alten Zone, stellen Sie danach die Nameserver um.
• Vergessen Sie nicht: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, Verifizierungen und Subdomains.
• Mail und anderer Nicht-Webverkehr laufen nicht über einen Proxy: Setzen Sie diese Einträge auf "DNS only" (grau).
• Verwenden Sie bei einem Proxy den SSL-Modus Full (strict). CNAME-Flattening funktioniert nur bei Anbietern, die es anbieten.

Quiz

Aufgabe

Aufgabe Z7.5: Externes DNS erkennen.

1. Suchen Sie die Nameserver von cloudflare.com. Auf welche Domain enden sie?
2. Suchen Sie die A-Einträge von cloudflare.com. Schreiben Sie einen A-Eintrag ab. Es sind Adressen von Cloudflare selbst: So funktioniert ein Proxy.
3. Wählen Sie eine Domain, die Sie kennen (Ihre eigene Domain ist auch möglich). Suchen Sie die Nameserver heraus und tragen Sie den Domainnamen und die Nameserver ein. An den Namen der Nameserver erkennen Sie, bei welchem Anbieter das DNS verwaltet wird.

Die Prüfung fragt die Einträge bei der Abgabe live ab.

Weiterführende Informationen

Diese Seiten beschreiben die Schritte in den Panels von WebOké (DirectAdmin und Mein WebOké). In anderen Panels funktioniert es auf dieselbe Weise.

• Eigene oder externe Nameserver (wie Cloudflare) für Ihre Domain verwenden
• DKIM einrichten, wenn das DNS über einen externen Server läuft
• DirectAdmin Anleitung 5.12: DNS in Mein WebOké und bei externen Nameservern wie Cloudflare
• WebOké Anleitung 5.3: Nameserver ändern
• DirectAdmin Anleitung 6.6: Let's Encrypt funktioniert nicht: Ursachen und Lösungen