Usar Cloudflare u otro proxy con Kapsule

Cómo poner un proxy o CDN de terceros frente a un sitio KapsuleHost, incluidas las dos configuraciones que rompen sitios, los registros que nunca deben ser proxificados, y cómo deshacerlo.

Kapsule ejecuta sus propios servidores de nombres y su propia red edge global, por lo que la mayoría de lo que ofrece un proxy de terceros ya está disponible aquí, integrado y soportado. Aun así puedes poner uno frente si lo deseas. Esta página te muestra cómo hacerlo y qué te cuesta.

Qué ganas y qué pierdes

Cambiar por una función específica que has probado y necesitas es una buena razón. Cambiar porque un post en un foro lo dijo intercambia una configuración soportada por una no soportada.

Ten en cuenta que la mayoría de proveedores, incluido Cloudflare, requieren que delegues todo el dominio a sus servidores de nombres en planes de nivel básico. No puedes proxificar un hostname y dejar el resto de tu DNS con nosotros. Mover tus servidores de nombres lo mueve todo: registros web, registros de correo, registros de verificación, todo.

Las dos configuraciones que rompen todo

1. Usa Full (Strict) SSL, nunca Flexible

Tu sitio Kapsule tiene un certificado real, confiable públicamente, y redirige HTTP plano a HTTPS en el origen.

Si tu proxy está configurado en Flexible SSL, habla HTTP plano con tu origen. Tu origen redirige eso a HTTPS. El proxy lo obtiene de nuevo sobre HTTP. Vuelta y vuelta. Los visitantes ven ERR_TOO_MANY_REDIRECTS y el sitio es inutilizable.

Establece el modo SSL en Full (strict). Tu certificado de origen es válido y confiable públicamente, por lo que la validación estricta pasa. Esta es la causa más común de que un sitio se rompa en el momento en que se activa un proxy.

2. No interceptes la ruta de desafío del certificado

Los certificados se emiten y renuevan demostrando control del dominio sobre HTTP plano, en /.well-known/acme-challenge/. Esa solicitud debe llegar al origen Kapsule y devolver la respuesta exacta. Cualquier cosa en el proxy que la intercepte rompe la emisión y, tres meses después, la renovación:

• Protección de bots, modo "en ataque", o cualquier desafío administrado que sirva una página intersticial.
• Firewall, reglas personalizadas o de página que coincidan con la ruta o el agente de usuario, o que reescriban la ruta.
• Almacenamiento en caché que sirva un 404 obsoleto para la ruta de desafío.
• Forzar HTTPS en la ruta de desafío en sí, antes de que exista un certificado para servirlo.

Añade una regla explícita excluyendo /.well-known/ de cada una de esas características.

Los certificados pagados ordenados a través de Kapsule se validan en su lugar sobre DNS, por lo que proxificar no los afecta. Consulta Certificados SSL.

Mover tu DNS a Cloudflare

Paso 1: Copia tus registros actuales. Abre la pestaña DNS para tu sitio en KPanel y anota cada registro: tipo, nombre, valor, prioridad. No omitas los que no reconozcas. Los registros de verificación de terceros y los registros de correo a continuación son lo que la gente pierde. Los importadores automáticos pierden registros regularmente, así que esta lista es lo que compruebas contra la importación y lo que restauras después.

Paso 2: Añade el dominio y comprueba la importación. Añade el dominio en Cloudflare y déjalo escanear tu DNS. Compara el resultado línea por línea contra tu lista y añade cualquier cosa que falte manualmente. Los valores deben coincidir exactamente, incluidos los puntos finales y las comillas en registros TXT.

Paso 3: Decide qué está proxificado. Cada registro obtiene un toggle de proxy, generalmente una nube naranja o gris. Proxificado significa que el tráfico para ese hostname pasa por su red; no proxificado significa que DNS resuelve directamente a la dirección real. Proxifica solo registros que sirvan tráfico web. La siguiente sección es la lista definitiva.

Paso 4: Cambia los servidores de nombres. Solo una vez que los registros sean correctos, apunta el dominio a los servidores de nombres que Cloudflare te proporciona. Si el dominio está registrado con Kapsule, usa la página Nameservers, cubierta en Servidores de nombres. De lo contrario, usa el panel de tu registrador. La delegación tarda minutos a horas en ser visible en todas partes.

Qué registros nunca deben ser proxificados

Proxificar un registro que no es tráfico web no lo protege. Reemplaza la respuesta con la dirección del proxy, por lo que el servicio en el otro extremo deja de funcionar.

La regla subyacente: proxifica hostnames que sirvan HTTP y HTTPS a navegadores, y nada más.

Mantener tu correo funcionando

El correo es la víctima más común de un traslado de servidores de nombres, y a menudo pasa desapercibido durante un día o dos porque el correo entrante simplemente deja de llegar en lugar de producir un error visible.

Si tus buzones están con Kapsule, cuatro cosas deben ser verdaderas después:

1. El registro MX existe y no está proxificado, apuntando a mail.kapsulehost.com con prioridad 10.
2. SPF es un único registro. Un dominio puede tener exactamente uno. El nuestro se parece a v=spf1 include:_spf.kapsulehost.com ~all. Si también envías a través de otro servicio, sus hosts pertenecen dentro de ese registro, no en uno segundo.
3. Cada registro DKIM pasó. Cada dominio tiene sus propias claves de firma publicadas como registros TXT bajo _domainkey. Hay más de uno, y el correo firmado con una clave cuyo registro falta falla la autenticación.
4. DMARC pasó. El registro _dmarc dice a los servidores receptores qué hacer con el correo que falla las comprobaciones anteriores.

La pestaña Deliverability en cualquier buzón muestra lo que está actualmente publicado y lo que falta, con los valores correctos para copiar. Compruébalo después de que se hayan propagado los servidores de nombres. SPF, DKIM y DMARC Explicados cubre lo que cada registro hace.

El correo se envía y recibe en el hostname de correo real directamente, por lo que nunca pasa a través del proxy. Los ajustes de tu cliente de correo no cambian.

Lo que pierdes: la IP real del cliente

Kapsule lee la IP del visitante real de un encabezado reenviado, pero solo cuando la solicitud llega de nuestra propia red edge o de la máquina misma. Cualquier otra fuente no es confiable, deliberadamente, porque un encabezado reenviado puede ser falsificado por cualquiera. Un proxy de terceros no está en esa lista de confianza, y no hay una forma soportada de añadir uno.

Así que todo lo que depende de la IP del visitante ve el proxy en su lugar:

Hay una versión peor. La plataforma bloquea automáticamente direcciones que generan una ráfaga de errores o inicios de sesión fallidos. Detrás de un proxy, toda esa actividad parece provenir del proxy, por lo que un visitante mal comportado puede hacer que todo un centro de datos de proxy sea bloqueado temporalmente, sacando a todos los demás enrutados a través de él. No podemos arreglarlo desde nuestro lado.

No apiles dos CDNs

Ejecutar Kapsule CDN con un proxy de terceros frente no duplica tu rendimiento. Te da dos cachés en desacuerdo, dos conjuntos de reglas de purga, y un problema muy difícil de depurar.

También hay un bloqueador concreto: habilitar Kapsule CDN requiere que nuestro edge emita un certificado para tu hostname, lo que requiere que el hostname resuelva a nuestro edge. Si DNS apunta a un proxy de terceros en su lugar, ese certificado nunca se emite y el CDN silenciosamente no hace nada.

Elige uno. Si quieres el de ellos, desactiva Kapsule CDN primero, antes de delegar tus servidores de nombres. Si quieres el nuestro, desactiva el proxy. Habilitar Kapsule CDN normalmente escribe los registros de edge requeridos para ti, pero solo cuando tu DNS está alojado con nosotros; de lo contrario, publícalos tú mismo usando el hostname de edge en la pestaña CDN.

Volviendo a Kapsule DNS

1. Abre la pestaña DNS en KPanel y comprueba que los registros aún coincidan con lo que está en vivo en el proxy. Añade cualquier cosa que hayas creado allí desde que te fuiste.
2. Desactiva el toggle de proxy en cada registro en el servicio de terceros, para que la zona muestre direcciones reales. Confirma que el sitio aún se carga.
3. Cambia los servidores de nombres en tu registrador de vuelta a ns1.kapsulecloud.com, ns2.kapsulecloud.com, ns3.kapsuledns.com y ns4.kapsuledns.com.
4. Una vez que se mueva la delegación, confirma que el sitio se carga sobre HTTPS con un certificado válido.
5. Comprueba la pestaña Deliverability en un buzón y confirma que los registros de correo están presentes.
6. Rehabilita Kapsule CDN si lo quieres, y confirma que el certificado se emite.

Cuando sale mal

• ERR_TOO_MANY_REDIRECTS: El modo SSL es Flexible. Cámbialo a Full (strict).
• Certificado expirado o inválido: la renovación fue bloqueada. Añade la exclusión /.well-known/, luego reemite desde el panel. Consulta Certificados SSL.
• El correo dejó de llegar: el registro MX falta, está proxificado, o apunta al host equivocado. Consulta Correo no recibido.
• El correo se envía pero cae en spam: un registro SPF, DKIM o DMARC no pasó. Arregla lo que la pestaña Deliverability señala. Consulta ¿Por qué mis correos van a spam?.
• Los cambios no aparecen: dos cachés. Purga ambos, luego comprueba en una ventana privada.
• Algunos visitantes no pueden llegar al sitio, otros pueden: probablemente un bloqueo automático en un centro de datos de proxy. Consulta Abrir un ticket de soporte.
• El dominio dejó de resolver justo después del cambio del servidor de nombres: generalmente un registro de delegación DNSSEC obsoleto. Pide a tu registrador que lo elimine.
• Advertencias de contenido mixto: no relacionadas con el proxy, pero a menudo notadas al mismo tiempo. Consulta Corregir contenido mixto.

Guías relacionadas

• Habilitar el CDN
• Purgar la caché del CDN
• Servidores de nombres
• Conceptos básicos de DNS
• Seguridad
• Glosario de hosting