Налаштування Cloudflare як зовнішнього DNS-провайдера

Cloudflare може керувати DNS-записами вашого домену замість поточного DNS-провайдера. Крім DNS-хостингу, він може проксувати трафік вашого сайту, надати для нього SSL-сертифікат і фільтрувати шкідливі запити. У цій інструкції показано, як перенести керування DNS домену в Cloudflare, зберігши роботу сайту й пошти.

Що змінюється

Перенесення керування DNS у Cloudflare не переносить реєстрацію домену й не переносить сайт. Домен залишається в поточного реєстратора, файли сайту залишаються на вашому сервері, а перенесення керування DNS не змінює IP-адресу сервера. Змінюються лише сервери імен домену: після перемикання на DNS-запити відповідає Cloudflare, і всіма DNS-записами ви керуєте в панелі Cloudflare. Пошта продовжує працювати, якщо її DNS-записи перенесено правильно.

Підготовка

Перед початком вам знадобляться:

• домен і доступ до панелі керування його реєстратора;
• обліковий запис Cloudflare, достатньо тарифу Free;
• IP-адреса або ім'я хоста, які використовує ваш сайт, наприклад адреса VPS або виділеного сервера INTROSERV.

Відкрийте налаштування DNS домену в поточного DNS-провайдера й збережіть копію всіх записів: A, AAAA, CNAME, MX, TXT, SRV, CAA та інших. Ви порівняєте їх із записами, які імпортує Cloudflare.

Якщо для домену ввімкнено DNSSEC, вимкніть його й видаліть наявні DS-записи в реєстратора до зміни серверів імен. Інакше після перемикання DNS-запити до домену можуть перестати виконуватися. Коли домен стане активним у Cloudflare, можна ввімкнути DNSSEC там і додати новий DS-запис у реєстратора.

Додайте домен у Cloudflare

Увійдіть у панель Cloudflare. На сторінці Account home введіть ім'я домену без www у поле Add a domain, наприклад example.com, і натисніть Connect. На сторінці Connect your domain залиште значення Automatic у полі Import DNS records і натисніть Continue.

Виберіть тариф. Тариф Free містить авторитетний DNS, проксі Cloudflare й Universal SSL. Якщо вам не потрібні функції, доступні лише на платних тарифах, натисніть Select plan під тарифом Free.

Перевірте DNS-записи

Cloudflare виконує швидке сканування DNS-записів і показує знайдені. Сканування перевіряє поширені типи й імена записів, тому може пропустити нестандартні або рідкісні записи. Порівняйте список зі збереженою копією й додайте відсутні записи кнопкою Add record.

Особливо уважно перевірте:

• записи A і AAAA сайту мають вказувати на потрібний сервер, а його записи CNAME на потрібне ім'я хоста;
• MX-записи й DNS-записи, які використовує ваш поштовий сервер, мають збігатися зі старою конфігурацією, інакше пошта перестане доставлятися;
• TXT-записи для SPF, DKIM, DMARC, підтвердження домену та інших сервісів потрібно перенести без змін.

Виберіть режим: проксі або DNS only

Налаштуйте DNS-записи та їхній статус проксі до зміни серверів імен. Cloudflare дає змогу задати статус проксі (Proxy status) для записів A, AAAA і CNAME:

• Proxied: відвідувачі підключаються до Cloudflare, а Cloudflare передає запити вашому серверу. Справжня IP-адреса сервера прихована, працюють SSL-сертифікат Cloudflare і функції захисту;
• DNS only: Cloudflare лише відповідає на DNS-запити справжньою IP-адресою сервера, і відвідувачі підключаються до сервера напряму.

Використовуйте Proxied для записів сайту, наприклад example.com і www. За замовчуванням Cloudflare вмикає проксі для всіх імпортованих записів A і CNAME, зокрема для таких записів, як mail і ftp, тому перемкніть їх у режим DNS only. Стандартний проксі Cloudflare розрахований на HTTP- і HTTPS-трафік і не пропускає такі сервіси, як SSH, SMTP або FTP. Використовуйте DNS only для імен хостів поштових серверів, SSH, FTP, ігрових серверів та інших сервісів, які не є сайтами.

Якщо ви використовуєте проксі для сайту, після активації домену перевірте режим шифрування. Відкрийте SSL/TLS, потім Overview, і натисніть Configure. За замовчуванням Cloudflare використовує режим Automatic SSL/TLS і сам вибирає найбезпечніший режим, який підтримує ваш сервер. Щоб задати режим вручну, якщо на сервері встановлено чинний SSL-сертифікат, наприклад від Let's Encrypt, виберіть Full (Strict) і натисніть Save: тоді з'єднання між Cloudflare і сервером шифрується, а сертифікат перевіряється. Не використовуйте режим Flexible, якщо сайт перенаправляє HTTP на HTTPS, бо таке поєднання спричиняє нескінченне перенаправлення.

Змініть сервери імен

Коли записи готові, натисніть Continue to activation. Cloudflare покаже два сервери імен, призначені вашому домену, наприклад ada.ns.cloudflare.com і bob.ns.cloudflare.com. Для кожного облікового запису імена свої. Нижче Cloudflare перелічує поточні сервери імен домену, які потрібно видалити.

Відкрийте панель керування реєстратора домену, знайдіть налаштування серверів імен (NS) і замініть поточні сервери імен на два сервери Cloudflare. Видаліть усі інші сервери імен і збережіть зміни.

Cloudflare перевіряє сервери імен автоматично. Запустити перевірку вручну можна на сторінці Overview домену. Зазвичай зміни набувають чинності за кілька годин, але це може тривати до 24 годин. Після цього домен отримає статус Active у панелі, а Cloudflare надішле вам лист.

Перевірте результат

Щоб перевірити DNS домену, виконайте в Linux або macOS:

dig NS example.com +short
dig A example.com +short
dig MX example.com +short

У Windows:

nslookup -type=ns example.com
nslookup -type=a example.com
nslookup -type=mx example.com

Запит NS має повернути два сервери імен Cloudflare. Запит MX має повернути поштові сервери, які ви використовуєте для домену: якщо ви не змінювали поштового провайдера, вони збігаються з MX-записами старої конфігурації. Для проксованого сайту запит A повертає адреси Cloudflare замість IP-адреси вашого сервера. Так і має бути. Потім відкрийте сайт у браузері й надішліть тестовий лист на адресу в цьому домені.

Якщо щось не працює

Якщо домен залишається в статусі Pending довше ніж 24 години, перевірте, що сервери імен у реєстратора точно збігаються з двома серверами, призначеними Cloudflare, і що інших серверів імен не залишилося. Якщо було ввімкнено DNSSEC, переконайтеся, що старий DS-запис видалено.

Якщо сайт не відкривається, перевірте записи A, AAAA або CNAME сайту й режим шифрування SSL/TLS. Нескінченне перенаправлення зазвичай означає, що режим Flexible використовується разом із перенаправленням на HTTPS на сервері.

Якщо перестала працювати пошта, порівняйте записи MX, TXT і записи поштового сервера в Cloudflare зі збереженою копією. DNS-запис поштового сервера, наприклад A- або AAAA-запис mail.example.com, має бути в режимі DNS only, бо стандартний проксі Cloudflare не пропускає SMTP-трафік.

Якщо не працює піддомен, перевірте, що його запис є в Cloudflare. Швидке сканування часто пропускає піддомени, тому додайте їхні записи вручну.