Настройка Cloudflare как внешнего DNS-провайдера

Cloudflare может управлять DNS-записями вашего домена вместо текущего DNS-провайдера. Кроме DNS-хостинга, он может проксировать трафик вашего сайта, предоставить для него SSL-сертификат и фильтровать вредоносные запросы. В этой инструкции показано, как перенести управление DNS домена в Cloudflare, сохранив работу сайта и почты.

Что меняется

Перенос управления DNS в Cloudflare не переносит регистрацию домена и не переносит сайт. Домен остаётся у текущего регистратора, файлы сайта остаются на вашем сервере, а перенос управления DNS не меняет IP-адрес сервера. Меняются только серверы имён домена: после переключения на DNS-запросы отвечает Cloudflare, и всеми DNS-записями вы управляете в панели Cloudflare. Почта продолжает работать, если её DNS-записи перенесены правильно.

Подготовка

Перед началом вам понадобятся:

• домен и доступ к панели управления его регистратора;
• аккаунт Cloudflare, достаточно тарифа Free;
• IP-адрес или имя хоста, которые использует ваш сайт, например адрес VPS или выделенного сервера INTROSERV.

Откройте настройки DNS домена у текущего DNS-провайдера и сохраните копию всех записей: A, AAAA, CNAME, MX, TXT, SRV, CAA и других. Вы сравните их с записями, которые импортирует Cloudflare.

Добавьте домен в Cloudflare

Войдите в панель Cloudflare. На странице Account home введите имя домена без www в поле Add a domain, например example.com, и нажмите Connect. На странице Connect your domain оставьте значение Automatic в поле Import DNS records и нажмите Continue.

Выберите тариф. Тариф Free включает авторитетный DNS, прокси Cloudflare и Universal SSL. Если вам не нужны функции, доступные только на платных тарифах, нажмите Select plan под тарифом Free.

Проверьте DNS-записи

Cloudflare выполняет быстрое сканирование DNS-записей и показывает найденные. Сканирование проверяет распространённые типы и имена записей, поэтому может пропустить нестандартные или редкие записи. Сравните список с сохранённой копией и добавьте недостающие записи кнопкой Add record.

Особенно внимательно проверьте:

• записи A и AAAA сайта должны указывать на нужный сервер, а его записи CNAME на нужное имя хоста;
• MX-записи и DNS-записи, которые использует ваш почтовый сервер, должны совпадать со старой конфигурацией, иначе почта перестанет доставляться;
• TXT-записи для SPF, DKIM, DMARC, подтверждения домена и других сервисов нужно перенести без изменений.

Выберите режим: прокси или DNS only

Настройте DNS-записи и их статус прокси до смены серверов имён. Cloudflare позволяет задать статус прокси (Proxy status) для записей A, AAAA и CNAME:

• Proxied: посетители подключаются к Cloudflare, а Cloudflare передаёт запросы вашему серверу. Реальный IP-адрес сервера скрыт, работают SSL-сертификат Cloudflare и функции защиты;
• DNS only: Cloudflare только отвечает на DNS-запросы реальным IP-адресом сервера, и посетители подключаются к серверу напрямую.

Используйте Proxied для записей сайта, например example.com и www. По умолчанию Cloudflare включает прокси для всех импортированных записей A и CNAME, в том числе для таких записей, как mail и ftp, поэтому переключите их в режим DNS only. Стандартный прокси Cloudflare рассчитан на HTTP- и HTTPS-трафик и не пропускает такие сервисы, как SSH, SMTP или FTP. Используйте DNS only для имён хостов почтовых серверов, SSH, FTP, игровых серверов и других сервисов, которые не являются сайтами.

Если вы используете прокси для сайта, после активации домена проверьте режим шифрования. Откройте SSL/TLS, затем Overview, и нажмите Configure. По умолчанию Cloudflare использует режим Automatic SSL/TLS и сам выбирает самый безопасный режим, который поддерживает ваш сервер. Чтобы задать режим вручную, если на сервере установлен действующий SSL-сертификат, например от Let's Encrypt, выберите Full (Strict) и нажмите Save: тогда соединение между Cloudflare и сервером шифруется, а сертификат проверяется. Не используйте режим Flexible, если сайт перенаправляет HTTP на HTTPS, потому что такое сочетание вызывает бесконечную переадресацию.

Смените серверы имён

Когда записи готовы, нажмите Continue to activation. Cloudflare покажет два сервера имён, назначенных вашему домену, например ada.ns.cloudflare.com и bob.ns.cloudflare.com. Для каждого аккаунта имена свои. Ниже Cloudflare перечисляет текущие серверы имён домена, которые нужно удалить.

Откройте панель управления регистратора домена, найдите настройки серверов имён (NS) и замените текущие серверы имён на два сервера Cloudflare. Удалите все остальные серверы имён и сохраните изменения.

Cloudflare проверяет серверы имён автоматически. Запустить проверку вручную можно на странице Overview домена. Обычно изменения вступают в силу за несколько часов, но это может занять до 24 часов. После этого домен получит статус Active в панели, а Cloudflare пришлёт вам письмо.

Проверьте результат

Чтобы проверить DNS домена, выполните в Linux или macOS:

dig NS example.com +short
dig A example.com +short
dig MX example.com +short

В Windows:

nslookup -type=ns example.com
nslookup -type=a example.com
nslookup -type=mx example.com

Запрос NS должен вернуть два сервера имён Cloudflare. Запрос MX должен вернуть почтовые серверы, которые вы используете для домена: если вы не меняли почтового провайдера, они совпадают с MX-записями старой конфигурации. Для проксируемого сайта запрос A возвращает адреса Cloudflare вместо IP-адреса вашего сервера. Так и должно быть. Затем откройте сайт в браузере и отправьте тестовое письмо на адрес в этом домене.

Если что-то не работает

Если домен остаётся в статусе Pending дольше 24 часов, проверьте, что серверы имён у регистратора точно совпадают с двумя серверами, назначенными Cloudflare, и что других серверов имён не осталось. Если был включён DNSSEC, убедитесь, что старая DS-запись удалена.

Если сайт не открывается, проверьте записи A, AAAA или CNAME сайта и режим шифрования SSL/TLS. Бесконечная переадресация обычно означает, что режим Flexible используется вместе с перенаправлением на HTTPS на сервере.

Если перестала работать почта, сравните записи MX, TXT и записи почтового сервера в Cloudflare с сохранённой копией. DNS-запись почтового сервера, например A- или AAAA-запись mail.example.com, должна быть в режиме DNS only, потому что стандартный прокси Cloudflare не пропускает SMTP-трафик.

Если не работает поддомен, проверьте, что его запись есть в Cloudflare. Быстрое сканирование часто пропускает поддомены, поэтому добавьте их записи вручную.