Fastly domene: slik setter du opp DNS

Skal du bruke Fastly med et eget domene, handler jobben i praksis om én ting: å få DNS-postene riktige. Her er hvilke poster Fastly krever, hva som oftest går galt, og hvordan du bekrefter at et fastly domene faktisk fungerer.

Kort oppsummert: Du peker domenet mot Fastly med A- og AAAA-poster, oppretter en CNAME-post for _acme-challenge så TLS-sertifikatet kan utstedes, og sørger for at CAA-poster ikke blokkerer Fastly. Så venter du på at DNS-en sprer seg, og verifiserer med noen enkle kommandoer.

Fastly domene: hvilke DNS-poster trenger du?

Fastly er en CDN (Content Delivery Network), altså et globalt nettverk av servere som leverer innholdet ditt nærmere brukerne. For at domenet ditt skal bruke Fastly, må DNS-postene peke riktig. DNS er domenenavnsystemet som oversetter domenenavnet ditt til IP-adresser.

A-post og AAAA-post

Du oppretter en A-post for IPv4 og en AAAA-post for IPv6. IP-adressene finner du i Fastly-dashbordet når du legger til domenet i tjenesten din, ofte innenfor 151.101.x.x-serien. Bruk alltid IP-ene Fastly viser deg, ikke adresser du har sett andre steder, siden de kan variere mellom tjenester.

Eksempel på poster:

dittdomene.no A-post: Fastly sin IPv4-adresse
dittdomene.no AAAA-post: Fastly sin IPv6-adresse

CNAME-posten for _acme-challenge

Fastly ber deg opprette en CNAME-post for _acme-challenge.dittdomene.no med en verdi Fastly genererer. Posten brukes til å validere at du eier domenet, før Fastly utsteder TLS-sertifikatet. TLS er krypteringen som gir deg HTTPS. Uten denne posten stopper sertifikatutstedelsen i Fastly-dashbordet.

CAA-poster

CAA-poster (Certificate Authority Authorization) forteller hvilke sertifikatutstedere som har lov til å lage sertifikater for domenet. Har du ingen CAA-poster, er alt i orden. Har du en CAA-post, må den tillate Fastly sine utstedere: letsencrypt.org, digicert.com, globalsign.com og caa.fastly.com. En for streng CAA-post er en av de vanligste grunnene til at sertifikatet aldri blir utstedt.

TXT-poster for verifisering

I noen oppsett ber Fastly deg også legge inn en TXT-post som verifiserer at du kontrollerer domenet. Den legges inn hos DNS-leverandøren din, på samme måte som de andre postene, og kan fjernes når Fastly bekrefter at den er registrert.

Slik setter du opp DNS for Fastly, steg for steg

Logg inn hos DNS-leverandøren der domenet ditt ligger. Det er som regel registraren, for eksempel Feno, men det kan også være et eget DNS-vertskap.
Legg til domenet ditt i Fastly, og aktiver TLS i tjenesten.
Opprett A-post for domenet med Fastly sin IPv4-adresse, og AAAA-post med IPv6-adressen.
Opprett CNAME-posten for _acme-challenge med verdien Fastly gir deg.
Sjekk at eventuelle CAA-poster tillater Fastly sine sertifikatutstedere.
Sett TTL-en (time to live) lav, for eksempel 300 sekunder, de første timene. TTL er hvor lenge svar kan hurtiglagres.
Vent til sertifikatet er utstedt i Fastly-dashbordet før du tester trafikk.

De vanligste feilene når et fastly domene ikke virker

Domenet peker fortsatt til origin-serveren. A-posten står fortsatt på den gamle IP-adressen din, ikke på Fastly sin.
Manglende _acme-challenge-post. Uten den utstedes aldri sertifikatet, og HTTPS feiler.
CAA-poster som blokkerer utstederen. En gammel CAA-post som bare tillater for eksempel Sectigo, stopper Fastly fullstendig.
CNAME på toppdomenet. Selve roten av domenet bør peke med A- og AAAA-poster, ikke CNAME. Flere DNS-leverandører tillater ikke CNAME helt i roten, og standarden gjør det problematisk når andre poster finnes.
Manglende AAAA-post. Brukere som er på IPv6 får da ikke svar, og siden lastes ikke.
For høy TTL. Med TTL på 24 timer sprer endringen seg i døgnet, og feil blir dyrere å rette.

Slik bekrefter du at oppsettet er riktig

Bruk dig eller nslookup fra terminalen for å sjekke hver post:

dig dittdomene.no A skal returnere en av Fastly sine IPv4-adresser.
dig dittdomene.no AAAA skal returnere en IPv6-adresse.
dig _acme-challenge.dittdomene.no CNAME skal returnere verdien Fastly ga deg.
dig dittdomene.no CAA skal vise poster som tillater Fastly sine utstedere.

Resultatet kan ligge igjen i hurtigbufferen hos din internettleverandør. Kjør dig @1.1.1.1 dittdomene.no for å spørre en ekstern DNS-server direkte og gå utenom caching. Er du ikke komfortabel med terminal, finnes nettbaserte verktøy som Google Dig og DNS Checker.

Når sertifikatet er utstedt, tester du med curl -I https://dittdomene.no. I svarene skal du se Fastly-hoder som via: 1.1 varnish, x-served-by og x-cache: HIT eller MISS. Ser du dem, går trafikken gjennom Fastly.

Vanlige spørsmål om fastly domene og DNS

Trenger jeg å flytte domenet til Fastly?

Nei. Fastly er en CDN, ikke en registrar. Domenet blir der det er registrert, og du styrer DNS-postene i registrarens kontrollpanel. Har du et panel der du enkelt kan legge til A-, AAAA- og CNAME-poster, holder det i vei.

Hvor lang tid tar det før Fastly fungerer?

Det avhenger av TTL-en du setter. Med TTL på 300 sekunder sprer endringen seg i løpet av få minutter. Selve sertifikatutstedelsen kan ta fra noen minutter til et par timer. Sjekk statusen i Fastly-dashbordet framfor å gjette.

Fungerer DNSSEC sammen med Fastly?

Ja. DNSSEC signerer DNS-svarene dine og gjør dem vanskelige å forfalske, og det påvirker ikke Fastly. Du kan derfor bruke en registrar som aktiverer DNSSEC automatisk, og likevel peke domenet mot Fastly. Sørg bare for at eventuelle CAA-poster tillater Fastly sine utstedere.

Sikre domenet ditt hos en norsk registrar

Fastly tar seg av leveringen, men domenet ditt lever videre hos registraren. Et .no-domene fra en norsk registrar gir deg norsk eierskap, transparente priser og trygghet i hverdagen. Du kan registrere et nytt domene fra 99 kroner året, og når DNS-poster skal oppdateres, gjøres det i et moderne kontrollpanel uten skjulte gebyrer.

Flytt domenet ditt til Feno, eller registrer et nytt, så har du en norsk registrar som også passer på DNSSEC og varsler deg ved endringer. Fastly og riktige DNS-poster blir enkle når grunnlaget er på plass.