Su DNS en otro proveedor, como Cloudflare

Módulo 7: Conectar servicios externos · Tiempo de lectura: 9 minutos

Objetivo de aprendizaje: Después de esta lección podrá trasladar el DNS de su dominio a un proveedor de DNS externo, sabrá qué registros debe conservar y cómo gestionar un proxy.

Conceptos clave: servidores de nombres externos, migración de zona, registros que deben conservarse (A, AAAA, MX, SPF, DKIM, DMARC, subdominios, verificaciones), proxy (nube naranja y gris), certificado detrás de un proxy (Full strict), CNAME flattening

Por qué tener el DNS en otro sitio

Puede tener su sitio web en un proveedor, su correo electrónico en un segundo y su DNS en un tercero. Algunas personas eligen un proveedor de DNS aparte, por ejemplo, porque quieren tener todos sus dominios en un solo lugar, por funciones adicionales (como un proxy que detiene ataques) o porque así lo configura su creador de sitios web. Cloudflare es un ejemplo conocido de ello, pero funciona igual con cualquier proveedor de DNS externo.

El principio ya lo conoce de la lección 2.1: quien gestiona los servidores de nombres, administra el DNS. Si cambia los servidores de nombres a otro proveedor, los registros de su anterior administrador de DNS dejan de contar. Tampoco cuentan aunque su proveedor de alojamiento o de correo todavía los tenga todos correctamente configurados allí.

El orden: primero preparar, después cambiar

Haga un inventario de su zona actual. Expórtela, haga una copia de seguridad en su panel o haga capturas de pantalla de todos los registros (lección 6.3).
Configure todos los registros en el nuevo proveedor. Muchos proveedores importan automáticamente sus registros existentes. Esto es útil, pero no es completo: solo encuentran los nombres que pueden adivinar. Registros como x._domainkey, _dmarc, registros TXT de verificación en subdominios o un autodiscover se suelen pasar por alto. Compare, por tanto, con el inventario del paso 1.
Baje el TTL con antelación en su proveedor actual, si es posible (lección 6.3).
Cambie los servidores de nombres en su registrador por los servidores de nombres que indique el nuevo proveedor.
Compruebe después del cambio si el sitio web, el correo electrónico y el certificado funcionan, y si el nuevo proveedor reconoce los servidores de nombres como activos.

Algunos registros de dominios, como DENIC para .de, comprueban al cambiar los servidores de nombres si su dominio ya está preparado en los nuevos servidores de nombres. Si la zona todavía no está lista, rechazan el cambio. También por eso: primero prepare, después cambie.

¿Qué registros debe conservar?

Una lista de comprobación para un dominio con sitio web y correo electrónico. Copie los valores de su proveedor de alojamiento y de su proveedor de correo.

Tipo	Nombre	Para qué sirve	Qué pasa si lo olvida
A y AAAA	`@`	su sitio web	sitio web inaccesible
A, AAAA o CNAME	`www`	su sitio web con www	`www.` no funciona
A	`mail` (o el nombre que use su proveedor)	su servidor de correo	el programa de correo no encuentra el servidor; el MX hacia `mail` no funciona
MX	`@`	correo entrante	no recibe correo
TXT	`@`	SPF, y códigos de verificación	correo marcado con más frecuencia como spam; los servicios pierden su verificación
TXT o CNAME	`<selector>._domainkey`	DKIM	DKIM falla, correo marcado con más frecuencia como spam o rechazado
TXT	`_dmarc`	DMARC	ya no hay política DMARC
CNAME	`autodiscover`	configuración de Outlook (Microsoft 365)	Outlook no encuentra la configuración
SRV, CAA	varios	telefonía, Teams, certificados	el servicio no funciona, o el certificado es rechazado
A o CNAME	cada subdominio (`shop`, `cloud`, `test`)	subdominios	subdominio inaccesible

Preste atención a los subdominios que haya creado en su panel de alojamiento. En el DNS de su proveedor de alojamiento, estos a menudo aparecían automáticamente en la zona, o funcionaban mediante un comodín (*). En un proveedor externo tiene que crearlos usted mismo, o configurar usted mismo un comodín (lección 3.3). Si más adelante crea un nuevo subdominio en su panel de alojamiento, añádalo también en el proveedor de DNS.

Y la clave DKIM de su proveedor de alojamiento: esta se encuentra en la zona de su proveedor de alojamiento, por ejemplo como x._domainkey. Copie el nombre y el valor completo al nuevo proveedor. Un error habitual es que el valor se corte por el camino o que se introduzcan espacios.

El proxy: naranja o gris

Cloudflare y servicios similares tienen, además del DNS, un proxy. En Cloudflare lo ve como una nube detrás de cada registro A, AAAA y CNAME:

Naranja (proxied): el DNS no devuelve la dirección IP de su propio servidor, sino una dirección de Cloudflare. Los visitantes van primero a Cloudflare, y Cloudflare lo reenvía a su servidor. Esto solo funciona para sitios web (http y https).
Gris (DNS only): el DNS devuelve simplemente la dirección IP real. Cloudflare solo hace entonces DNS.

Consecuencias:

El correo no pasa por el proxy. Configure el registro para mail y todo lo que use su programa de correo u otros servidores de correo en gris. Si mail está en naranja, su MX apunta a una dirección de Cloudflare que no acepta correo.
Tampoco FTP, SSH y otro tráfico que no sea web pasa por el proxy. Use para ello un nombre con nube gris, o el nombre de servidor de su proveedor de alojamiento.
Certificados. Con naranja, una entidad emisora de certificados como Let's Encrypt no ve su servidor directamente. La solicitud automática de un certificado en su proveedor de alojamiento puede entonces fallar. Ponga el proxy temporalmente en gris hasta que su proveedor de alojamiento tenga el certificado, o use un método que funcione mediante DNS.
Modo SSL. Configure en Cloudflare el modo SSL en Full (strict) si su servidor tiene un certificado válido. En el modo "Flexible", el tráfico entre Cloudflare y su servidor no está cifrado, y ese modo además suele provocar un bucle de redirección infinito en sitios web que ya redirigen por sí mismos a https.

¿CNAME en el dominio raíz?

Un CNAME normal en @ no es posible (lección 3.2). Algunos proveedores de DNS ofrecen una solución para esto, con nombres como CNAME flattening, ALIAS o ANAME. Entonces introduce un nombre para @, y el proveedor de DNS busca por su cuenta la dirección IP correspondiente y la devuelve como registro A o AAAA. Para el mundo exterior, por tanto, simplemente hay un registro A.

Es útil cuando una plataforma solo le da un nombre. Pero no es DNS estándar: si se traslada a un proveedor que no lo admite, tendrá que volver a crear un registro A con una dirección IP.

Reconocer problemas

"He modificado un registro y no pasa nada." Compruebe qué servidores de nombres usa su dominio (lección 8.2). Si están en el proveedor externo, modifique el registro allí.
El sitio web funciona, el correo no. ¿Falta el MX, falta el registro A para mail, o está mail en naranja?
El correo llega, pero más a menudo a spam. Registro DKIM olvidado o cortado, o SPF no trasladado.
Error de certificado o bucle de redirección. Proxy activo con modo SSL Flexible, o su proveedor de alojamiento no pudo solicitar un certificado.

En la práctica: así se ve en un panel

En el panel de ejemplo Mi WebOké, en la pestaña DNS verá arriba del todo qué servidores de nombres usa su dominio. Si allí aparecen servidores de nombres externos, los cambios en Mi WebOké o DirectAdmin no tienen efecto. Los valores que necesita en el proveedor externo (dirección IP, nombre de servidor para el MX, clave DKIM en x._domainkey) los consulta en Administración de DNS de DirectAdmin o en el correo de bienvenida de su paquete. Los servidores de nombres se cambian en la página del dominio, en la tarjeta Servidores de nombres.

En otros paneles, como cPanel, Plesk o la pantalla de DNS de su registrador, verá los mismos registros. En el proveedor externo los botones se llaman de otra forma, pero rellena los mismos campos: nombre, tipo, valor, TTL, y en Cloudflare el modo del proxy.

Resumen

Quien gestiona los servidores de nombres, administra el DNS. Los registros de su anterior proveedor dejan de contar.
Configure primero todos los registros en el nuevo proveedor y compárelos con un inventario de su antigua zona; cambie después los servidores de nombres.
No olvide: mail, MX, SPF, DKIM (x._domainkey), DMARC, autodiscover, verificaciones y subdominios.
El correo y otro tráfico que no sea web no pasan por un proxy: ponga esos registros en "DNS only" (gris).
Use con un proxy el modo SSL Full (strict). CNAME flattening solo funciona en proveedores que lo ofrecen.

Cuestionario

Ejercicio

Ejercicio Z7.5: Reconocer DNS externo.

Busque los servidores de nombres de cloudflare.com. ¿En qué dominio terminan?
Busque los registros A de cloudflare.com. Copie un registro A. Son direcciones del propio Cloudflare: así funciona un proxy.
Elija un dominio que conozca (puede ser el suyo propio). Busque los servidores de nombres y rellene el nombre de dominio y los servidores de nombres. Por los nombres de los servidores de nombres puede ver en qué proveedor se administra el DNS.

La verificación consulta los registros en tiempo real al entregar el ejercicio.

Para seguir leyendo

Estas páginas describen los pasos en los paneles de WebOké (DirectAdmin y Mi WebOké). En otros paneles funciona de la misma manera.

Cookies en WebOké

Ajustes de cookies

Necesarias

Marketing