Hosting i DNS upravljanje: domeni, SSL i Cloudflare

Hosting i DNS odlučuje da li iko može da otvori vašu web stranicu, mejl ili API. Brza aplikacija ne vrijedi ništa ako domen istekne preko noći, DNS i dalje pokazuje na server koji ste ugasili, ili se SSL certifikat sedmicama ne obnavlja. Posjetilac dobije upozorenje u browseru ili praznu stranicu, a vi to obično čujete od kupca.

U CodeWizu preuzimamo taj sloj: gdje je sajt hostovan, kako je DNS zona složena, ko drži domen i kako certifikati ostaju važeći. Cloudflare stavljamo ispred origina, čistimo stare zapise, obnove automatizujemo i ostavljamo kratak dokument da podešavanje ne živi u nečijem inboxu.

Usluga je za firme koje su još na shared paketu kod registrara, agencije sa puno klijentskih domena i timove koji su prerasli jedan kontrolni panel. Ako niste sigurni ko može obnoviti domen, ili je certifikat već istekao u petak, ovim poslom uklanjamo baš tu vrstu incidenta.

Kod teme certifikati alati otvorenog koda su prvi izbor kada odgovaraju poslu.

Cloudflare hosting ispred origina

Cloudflare hosting, onako kako ga mi postavljamo, znači da se posjetioci povezuju na Cloudflareovu mrežu, a aplikacija radi na originu koji vi kontrolišete. Najbliži data centar iz keša vrati ono što može, a suvišan saobraćaj se filtrira prije nego što stigne do vašeg servera. Cloudflare je javna adresa. Nije zamjena za server na kojem zaista rade PHP, Node.js ili baza podataka.

Certifikati kreće od sistema koji već radi, a ne od praznog šablona.

Zašto je to bitno za poslovanje

• Keširani statički fajlovi, i HTML tamo gdje je to sigurno, prikriju spor origin ili kratak prekid hostinga.
• Promjena servera je promjena jedne adrese origina. Stupa na snagu za nekoliko sekundi, uz jednako brz povratak.
• TLS, upijanje DDoS napada i web application firewall dolaze uz isti setup koji sajt i ubrzava.
• Web zapisi smiju biti proxied. Mejl zapisi ne smiju, jer proxy govori HTTP, a ne SMTP.

Kako to postavljamo

• Nameserveri prelaze na Cloudflare, ili ostaje djelimičan setup kada partner mora i dalje da služi DNS.
• Web stranica i www su proxied. MX, mejl hostnameovi i sve što nije HTTP ostaje samo DNS.
• SSL režim je Full (strict), sa pravim certifikatom na originu, tako da su oba skoka šifrovana i provjerena.
• Origin prima web saobraćaj samo od Cloudflarea, ili nema ulaznih portova kada ga vežemo preko Cloudflare Tunela.
• Cache pravila, kompresija i redirecti žive na edgeu i prežive sljedeću selidbu servera. Detalji su u vodiču za profesionalnu Cloudflare konfiguraciju.

DNS konfiguracija koja prati stvarni sistem

DNS je adresar za web stranicu, mejl, staging, API i svaki token kojim provajder traži da potvrdite domen. Svaki zapis mora pokazivati na nešto što još postoji. Stari projekti ostavljaju zastarjele A zapise, dva MX zapisa koja se ne slažu i TXT unose koje niko ne umije objasniti.

Rad na temi certifikati ostaje u vašem repozitoriju i na vašoj infrastrukturi.

Živu zonu izvezemo prije bilo kakve izmjene. Dan-dva prije selidbe spuštamo TTL, obično na 300 sekundi, i vraćamo ga kad se novi setup ustabili. Cloudflareova DNS dokumentacija nam je referenca za proxied zapise, CNAME flattening na apexu i DNSSEC.

CodeWiz provjerava certifikati u produkciji, ne samo na demonstraciji.

Šta čista zona sadrži

• Jednog autoritativnog hosta. Ako zonu služi Cloudflare, stari zapisi kod registrara nisu druga kopija.
• Bilješku uz svaki zapis koji nije očigledan: token za provjeru, stari poddomen, IP partnera.
• Mejl i web razdvojene, tako da proxy nikad ne proguta poštu.
• Staging i admin hostnameove koji po defaultu nisu javni.

Upravljanje domenima: obnove, transferi i vlasništvo

Domen je imovina koju ne možete sastaviti iz backupa. Hosting se može zamijeniti za jedan dan. Domen koji istekne i uzme ga neko drugi sporo se vraća, a ponekad se i ne može vratiti. Račun kod registrara tretiramo kao produkcijski server.

Odluke o temi certifikati vežu se za ograničenje koje stvarno koči poslovanje.

O čemu vodimo računa

• Popis: svaki domen, gdje je registrovan, datum isteka i kontakt registranta koji pripada firmi.
• Auto-renew na firmin način plaćanja, plus podsjetnik koji ne zavisi od mejla registrara.
• Zaključavanje i privatnost: registrar lock ostaje uključen, a privatnost registracije tamo gdje je registar dozvoljava.
• Transferi idu preko auth koda, lock se skida samo za taj prozor i nikad u istom trenutku kad se mijenjaju nameserveri.
• DNSSEC samo kada i registrar i DNS host to čisto podržavaju. Napola završen setup gasi cijeli domen.

Registrar registruje i obnavlja. Cloudflare, ili drugi DNS host, služi zapise. Hosting kupljen u paketu sa domenom je način na koji firme kasnije otkriju da ne mogu otići od lošeg hosta, a da ne rizikuju ime. Hosting i DNS počinje razdvajanjem ta dva posla.

Predaja teme certifikati uključuje uputstvo koje tim može koristiti.

SSL certifikati koji se sami obnavljaju

Browseri tretiraju istekao ili neusklađen certifikat kao čvrstu prepreku. Kupac neće proći upozorenje da bi vam platio. Rješenje su certifikati koji se sami obnavljaju i upozorenje ako obnova zakaže. Mehanizmi nisu međusobno zamjenjivi.

Za certifikati CodeWiz prvo mjeri ograničenje, pa bira alat.

Kako HTTPS ostaje ispravan

• Edge certifikat pokriva apex i hostnameove koje stvarno servirate. Wildcard dodajemo samo kada vam treba.
• Full (strict) tjera Cloudflare da odbije origin sa pokvarenim certifikatom. Flexible režim, koji sa originom priča običan HTTP, uklanjamo.
• HTTP se na edgeu preusmjerava na HTTPS. HSTS čeka dok svaki hostname koji neko može ukucati nema važeći certifikat.
• CAA zapisi imenuju izdavaoce koje koristite. Istek ipak pratimo, jer izmjena firewall-a tiho obori challenge za obnovu.

Tamo gdje origin sam završava TLS, Caddy obnavlja certifikate skoro bez konfiguracije, a Certbot isto radi za Nginx ili Apache. Let's Encrypt objašnjava HTTP-01 i DNS-01 challenge u zvaničnoj dokumentaciji. Tipično izdavanje preko webroota izgleda ovako:

Mejl DNS: SPF, DKIM i DMARC

Kvar koji najčešće vidimo pri selidbi hostinga je mejl. Sajt se digne na novom serveru, a fakture, reseti lozinke i kontakt forme tiho stanu. Ti tokovi zavise od zapisa koji nemaju veze sa A zapisom web stranice.

• MX pokazuje na pravi mejl host: Google Workspace, Microsoft 365 ili mejl server koji sami vodite.
• SPF je jedan TXT zapis sa svakim sistemom koji smije slati, uključujući server aplikacije ili njegov SMTP relay. Dva SPF zapisa se ne spajaju. Padaju.
• DKIM objavljuje javni ključ koji vam da provajder, pod selektorom koji oni navedu.
• DMARC kreće od p=none sa adresom za izvještaje, pa prelazi na quarantine ili reject kad se legitimni mejl uskladi.
• Mejl iz aplikacije izlazi preko pravog relayja. Lokalni mailer na VPS-u je čest razlog što poruke nikad ne stignu.

DMARC ne stavljamo na reject prvi dan. Zaboravljeni plugin bi počeo da odbija mejl koji vam još treba, pa prvo provjerimo prave poruke, a tek onda pooštrimo politiku.

Izbor origina iza domena

Cloudflare ne ukida potrebu za mjestom na kojem aplikacija radi, osim ako je sajt statičan ili sagrađen na Workersima. Origin treba da prati opterećenje, a ne hosta koji vam je prodao domen.

• Shared hosting kod registrara može držati jednostavan prezentacioni sajt. Kontrole je malo, susjedi su bučni, a izlazak boli.
• VPS sa open-source panelom kao što je CloudPanel odgovara WordPressu, Laravelu i nekoliko sajtova, bez licence za panel. Pisali smo o produkcijskom hostingu na open-source panelima.
• Server bez panela odgovara aplikacijama koje deployamo Dockerom ili CI-jem, gdje bi panel samo sakrio pravi proces.
• Managed platforma odgovara malom timu koji želi manje posla oko servera i prihvata višu cijenu i manje slobode da podešava stack.

Server dimenzionišemo prema izmjerenom saobraćaju, backup držimo van te mašine, a bazu podataka van javnog interneta. Domen i DNS ostaju na mjestu kad se origin seli, i zato je hosting i DNS poseban posao, a ne stavka na računu za hosting.

Selidba hostinga bez gubitka mejla i narudžbi

Selidba hostinga je kopija podataka plus promjena DNS-a ili origina. Bezopasan redoslijed je dosadan, i baš zato radi.

1. Novi origin se podigne i kopiraju se fajlovi i baza dok stari sajt još služi saobraćaj.
2. Spuste se TTL-ovi i izdaju certifikati na novom serveru.
3. Test na privremenom hostnameu: prijava, checkout, forme i pravi mejl u oba smjera.
4. Završna sinhronizacija. Ako sajt prima narudžbe, kratak prozor samo za čitanje zaustavi upise na stari server nakon kopije.
5. Prebaci se Cloudflare origin, ili DNS zapisi ako domen još nije proxied.
6. Prate se logovi i stari server ostaje upaljen nekoliko dana, dovoljno da se primijeti zaboravljeni cron.

Ako je domen već proxied, promjena adrese origina jeste cijeli javni prelazak, i zato DNS ide na Cloudflare prije servera.

Hosting i DNS: greške koje viđamo najčešće

• Auto-renew je ugašen, a jedina obavijest o isteku ide nekome ko je otišao iz firme.
• Zapisi su podijeljeni između registrara i Cloudflarea, i niko nije siguran koja zona je živa.
• Mejl hostname je proxied, ili MX pokazuje na proxied ime, i mejl nestane.
• Alat doda drugi SPF zapis i slanje počne da pada.
• Cloudflare SSL ostane na Flexible, što sakrije HTTP origin i umije da uđe u petlju redirecta.
• Stari server se obriše isti dan, prije nego što se provjere mejl i forme.
• Wildcard zapis šalje svaku grešku u kucanju i svaki zaboravljeni poddomen na produkciju.

Hosting i DNS: od čega zavisi cijena

Procjenu dajemo nakon kratkog pregleda zona i servera. Skupo gotovo nikad nisu sami DNS izmjeni.

• Koliko ima domena i preko koliko registrara i starih panela su razbacani.
• Da li mejl, nekoliko aplikacija i shop dijele jednu zonu koju treba raspetljati.
• Jednokratno čišćenje naspram stalne brige: obnove, upozorenja za certifikate i neko koga zovete kad zapis mora da se promijeni.
• Da li originu trebaju samo DNS i TLS, ili server treba iznova podići i podatke preseliti.

VPS, domen i bilo koji plaćeni Cloudflare plan naplaćuju ti provajderi. Biramo ih tako da mjesečni trošak ostane predvidiv.

Kako radimo

1. Upoznavanje: domeni, registrari, DNS hostovi, mejl, certifikati i gdje kod zaista radi.
2. Plan: DNS host, origin, način certifikata i redoslijed koji nikad ne seli mejl i web stranicu u jednom neprovjerenom koraku.
3. Izgradnja: zona, očišćeni zapisi, zatvoren origin, certifikati, backupi i provjere dostupnosti.
4. Test: sajt mimo javnog DNS-a, pravi mejl u oba smjera, forme i checkout.
5. Puštanje: prelazak uz već spuštene TTL-ove. Stari server ostaje dok niste zadovoljni.
6. Podrška: spisak obnova, upozorenja za certifikate i padove, i bilješka uz svaki zapis koji nije očigledan.

Zašto CodeWiz

• Gradimo ono što hostujemo. WordPress, Laravel, Node.js i online prodavnice su svakodnevni posao, pa DNS mijenja neko ko zna koji hostname aplikacija zove.
• Prvo open-source. Let's Encrypt, open-source panel i Cloudflareov besplatni nivo tamo gdje je dovoljan. Plaćeni plan tek kad funkcija to zasluži.
• Po mjeri sajta. Kratka prezentacija ne dobija klaster. Shop koji prima narudžbe dobija backup, monitoring i uvježban povratak.
• Performanse u istim rukama. Hosting, Cloudflare i rad iza rezultata 100/100 na PageSpeed-u su jedna praksa.
• Pristupačne cijene, podrazumijevano remote. CodeWiz je osnovan u Banjoj Luci 2023. i radi sa klijentima lokalno i u inostranstvu. Više pročitajte o CodeWizu.

Često postavljana pitanja

Koliko košta hosting i DNS?

Jedan domen sa jasnom zonom i ispravnim mejlom je mali angažman. Više domena, shop i server koji treba iznova podići traju duže. Procjenu dajemo kad vidimo zone. VPS i domen se naplaćuju odvojeno.

Treba li DNS da bude na Cloudflareu ili kod registrara?

Za skoro svaki sajt koji vodimo DNS je na Cloudflareu, a registrar samo obnavlja domen. Izmjene su brze, a kasnija selidba servera ne traži transfer. DNS ostaje kod registrara samo kad to traži ugovor ili pravilo registra.

Koliko traje SSL certifikat i šta ako obnova zakaže?

Let's Encrypt certifikat traje 90 dana i treba da se obnovi sam. Cloudflare obnavlja svoje edge certifikate. Istek ipak pratimo, jer blokiran challenge zakaže tiho, a upozorenje stigne dok je trenutni certifikat još važeći.

Hoće li promjena nameservera ugasiti web stranicu i mejl?

Ne, ako je nova zona potpuna kopija stare prije prelaska. Tu kopiju napravimo, spustimo TTL-ove i tek onda prebacimo. Tokom propagacije obje zone daju iste odgovore.

Možete li voditi domen registrovan negdje drugo?

Da. Dovoljan je pristup registraru, za nameservere i auto-renew, i DNS hostu. Transfer se isplati kad želite jedan račun za više domena.

Šta da radimo ako domen uskoro ističe?

Obnovite ga prije bilo koje druge izmjene. Nakon isteka može uslijediti grace period, pa redemption period koji košta više i nije zagarantovan. Ne radite transfer i ne mijenjajte nameservere dok je domen u isteku.

Spremni da hosting dovedemo u red?

Recite nam gdje je domen registrovan i šta se pokvarilo zadnji put kad se nešto mijenjalo. Pregledaćemo zonu, certifikat i origin i predložiti setup koji mogu preživjeti i sajt i mejl. Javite nam se da krenemo, ili pogledajte naše usluge hostinga i DNS-a.