Kapsule で Cloudflare またはその他のプロキシを使用する

サードパーティのプロキシまたはCDNをKapsuleHostサイトの前に配置する方法。サイトを破損させる2つの設定、プロキシしてはいけないレコード、そして設定を取り消す方法について説明します。

Kapsuleは独自のネームサーバーと独自のグローバルエッジネットワークを運用しているため、サードパーティのプロキシが提供するほとんどの機能はすでにここで利用可能であり、統合され、サポートされています。ただし、必要に応じてプロキシを前に配置することもできます。このページでは、その方法と費用について説明します。

得られるもの、失うもの

テストして必要とする特定の機能のための移行は正当な理由です。フォーラムの投稿が理由での移行は、サポートされているセットアップをサポートされていないものと取り換えるものです。

ほとんどのプロバイダー（Cloudflareを含む）は、エントリーレベルのプランでドメイン全体をそのネームサーバーに委譲することが必要です。1つのホスト名のみをプロキシして、残りのDNSを当社に置いておくことはできません。ネームサーバーを移動するとすべてが移動します。Webレコード、メールレコード、検証レコード、すべてです。

すべてを破損させる2つの設定

1. Full（Strict）SSLを使用して、Flexibleは使用しない

Kapsuleサイトは実在し、公的に信頼された証明書を持ち、プレーンHTTPをオリジンのHTTPSにリダイレクトします。

プロキシがFlexible SSLに設定されている場合、オリジンに平文HTTPで通信します。オリジンがそれをHTTPSにリダイレクトします。プロキシが再度HTTPで取得します。堂々巡り。訪問者はERR_TOO_MANY_REDIRECTSを見て、サイトは使用不可能です。

SSLモードを**Full (strict)**に設定してください。オリジン証明書は有効で公的に信頼されているため、厳密な検証が成功します。これはプロキシが切り替えられた瞬間にサイトが破損する最も一般的な原因です。

2. 証明書チャレンジパスをインターセプトしない

証明書は、プレーンHTTPでドメインの制御を証明することで発行および更新されます。これは/.well-known/acme-challenge/で行われます。そのリクエストはKapsuleオリジンに到達し、正確な答えを返す必要があります。プロキシで何かがインターセプトするとそれを破損させ、3ヶ月後に更新も破損させます:

• ボット保護、「攻撃下」モード、またはインタースティシャルページを提供する任意のマネージドチャレンジ。
• ファイアウォール、カスタムまたはパスまたはユーザーエージェントでマッチするページルール、またはパスを書き換えるもの。
• チャレンジパスの古い404を提供するキャッシング。
• チャレンジパス自体にHTTPSを強制すること。証明書がそれを提供する前に。

/.well-known/を除外する明示的なルールをこれらの機能のすべてに追加してください。

Kapsuleを通じて発注された有料証明書はDNS経由で検証されるため、プロキシはそれらに影響しません。SSL証明書を参照してください。

DNSをCloudflareに移動

ステップ1: 現在のレコードをコピーする。 KPanelでサイトのDNSタブを開き、すべてのレコードをリストアップしてください。タイプ、名前、値、優先度です。認識していないものもスキップしないでください。サードパーティの検証レコードと以下のメールレコードが人々が失うものです。自動インポーターは定期的にレコードを見落とすため、このリストはインポートに対してチェックし、後で復元する対象です。

ステップ2: ドメインを追加してインポートをチェックする。 Cloudflareでドメインを追加し、DNSをスキャンさせてください。結果をリストに対して1行ずつ比較し、欠けているものを手動で追加してください。値は末尾のドットとTXTレコードのクォーティングを含めて正確に一致する必要があります。

ステップ3: プロキシするものを決定する。 すべてのレコードはプロキシトグルを取得します。通常はオレンジまたはグレーのクラウドです。プロキシされるとはそのホスト名のトラフィックがそのネットワークを通過することを意味し、プロキシされないとはDNSが実際のアドレスに直接解決することを意味します。Webトラフィックを提供するレコードのみをプロキシしてください。次のセクションが決定的なリストです。

ステップ4: ネームサーバーを変更する。 レコードが正しくなったら、ドメインをCloudflareが提供するネームサーバーにポイントしてください。ドメインがKapsuleに登録されている場合は、Nameserversページを使用してください。ネームサーバーで説明されています。それ以外の場合は、レジストラのパネルを使用してください。委譲はどこでも可視化されるまで数分から数時間かかります。

プロキシしてはいけないレコード

Webトラフィックではないレコードをプロキシすると、それを保護しません。答えをプロキシのアドレスで置き換えるため、反対側のサービスは機能を停止します。

下にあるルール: ブラウザーにHTTPとHTTPSを提供するホスト名のみをプロキシし、何も他は出さないでください。

メールの機能を保つ

メールはネームサーバー移動の最も一般的な被害者であり、受信メールが単に到着を停止し、可視的なエラーを生成しないため、多くの場合1、2日間気付かれません。

Kapsuleでメールボックスがある場合、その後4つのことが真実である必要があります:

1. MXレコードが存在し、プロキシされていない。mail.kapsulehost.comにポイントして優先度10です。
2. SPFは単一レコードです。ドメインは正確に1つのみが許可されています。私たちのものはv=spf1 include:_spf.kapsulehost.com ~allのようなものです。別のサービスを通じて送信する場合は、そのホストは、第2のレコードではなく、そのレコード内に属します。
3. すべてのDKIMレコードが渡された。各ドメインには、_domainkeyの下でTXTレコードとして公開される独自の署名キーがあります。1つ以上があり、そのレコードがないキーで署名されたメールは認証に失敗します。
4. DMARCが渡された。_dmarcレコードは受信側サーバーに上記のチェックに失敗するメールをどうするかを伝えます。

任意のメールボックスのDeliverabilityタブには、現在公開されているものと欠けているものが、コピーする正しい値と共に表示されます。ネームサーバーが伝播した後にチェックしてください。SPF、DKIMおよびDMARC説明は各レコードが何をするかをカバーしています。

メールは実際のメールホスト名で直接送受信されるため、プロキシを通じて渡りません。メールクライアント設定は変わりません。

失うもの: 実クライアントIP

Kapsuleは転送されたヘッダーから実訪問者IPを読みますが、リクエストが独自のエッジネットワークまたはマシン自体から到着する場合のみです。その他のソースは信頼されていません。意図的にこれは転送されたヘッダーは誰でも偽造できるためです。サードパーティのプロキシはそのトラストリストにはなく、1つを追加するサポートされている方法はありません。

したがって訪問者のIPに依存するすべてはプロキシを見ます:

より悪いバージョンがあります。プラットフォームは自動的にエラーまたは失敗したログインのバーストを生成するアドレスをブロックします。プロキシの背後でそのアクティビティはすべてプロキシから来ているように見えるため、1つの悪い訪問者は全体のプロキシデータセンターを一時的にブロックでき、それを通じてルーティングされた他の全員を排除できます。当社はそれを当社側から修正することはできません。

2つのCDNをスタックしない

Kapsule CDNをサードパーティのプロキシの前で実行するとパフォーマンスが2倍になることはありません。2つのキャッシュが異なり、2セットのパージルールを与え、デバッグするのが非常に難しい問題を与えます。

また具体的なブロッカーがあります: Kapsule CDNを有効にするにはエッジがホスト名の証明書を発行することが必要で、これはホスト名がエッジに解決することが必要です。DNSが代わりにサードパーティのプロキシにポイントする場合、その証明書は決して発行されず、CDNは静かに何もしません。

1つを選んでください。彼らのものが欲しい場合は、ネームサーバーを委譲する前に、まずKapsule CDNをオフにしてください。私たちのものが欲しい場合は、プロキシをオフにしてください。Kapsule CDNを通常有効にすると必要なエッジレコードを自動的に書き込みます。ただし、DNSが当社でホストされている場合のみ。そうでなければCDNタブのエッジホスト名を使用して自分で公開してください。

Kapsule DNSに戻る

1. KPanelのDNSタブを開き、レコードが依然としてプロキシで生きているものと一致することをチェックしてください。そこから去った後に作成したものを何でも追加してください。
2. サードパーティのサービスのすべてのレコードのプロキシトグルをオフにして、ゾーンが実際のアドレスを示すようにしてください。サイトが依然として読み込まれることをチェック確認してください。
3. ネームサーバーをレジストラでⅠns1.kapsulecloud.com、ns2.kapsulecloud.com、ns3.kapsuledns.comとns4.kapsuledns.comに変更して戻してください。
4. 委譲が動いたら、サイトが有効な証明書でHTTPSで読み込まれることをチェック確認してください。
5. メールボックスのDeliverabilityタブをチェックし、メールレコードが存在することをチェック確認してください。
6. 必要な場合Kapsule CDNを再度有効にし、証明書が発行されることをチェック確認してください。

何か問題が起こった場合

• ERR_TOO_MANY_REDIRECTS: SSLモードはFlexibleです。Full (strict)に変更してください。
• 証明書が期限切れまたは無効: 更新がブロックされました。/.well-known/除外を追加し、パネルから再発行してください。SSL証明書を参照してください。
• メール到着が停止: MXレコードがない、プロキシされている、または間違ったホストにポイント。メール受信していないを参照してください。
• メール送信されるがスパムに落ちる: SPF、DKIMまたはDMARCレコードが渡されませんでした。Deliverabilityタブがフラグを立てるものを修正してください。メールがスパムに行く理由を参照してください。
• 変更が表示されない: 2つのキャッシュ。両方をパージしてから、プライベートウィンドウで確認してください。
• 何人かの訪問者はサイトに到達できず、他の人はできます: おそらく1つのプロキシデータセンターに自動ブロック。サポートチケットを開くを参照してください。
• ドメインがネームサーバー変更の直後に解決を停止: 通常、古いDNSSEC委譲レコード。レジストラに削除するよう求めてください。
• 混合コンテンツ警告: プロキシと無関係ですが、同時に気付かれることが多い。混合コンテンツの修正を参照してください。

関連ガイド

• CDNの有効化
• CDNキャッシュのパージ
• ネームサーバー
• DNS基本
• セキュリティ
• ホスティング用語集