Web Hosting + gestione DNS

bortolotti80

Se se già cliente Aruba, per fare delle prove trovi anche il loro VPS a 2,79+IVA al mese, e hai un server Linux minimo a tua disposizione - che però devi configurarti tu. Poi ci sono molte altre scelte - l'unico vantaggio di Aruba è che hanno già i tuoi dati per la fatturazione, probabilmente

SPF, DKIM e DMARC però sono per la posta, non per un sito web.

bortolotti80 Un servizio abbastanza economico che conosco è Github, con la versione pro a 4€/mese si ha pages e da quanto ho letto nelle faq, l'opportunità di utilizzare un proprio dominio

Con GitLab è gratis

scorpion il loro servizio DNS, infinitamente superiore rispetto a quello di Aruba.

Per un piccolo sito web ti basta un record A (e AAAA se vuoi anche IPv6).

[cancellato] per il solo sito si, ma nel messaggio parlava anche di configurare i record relativi al mail server e personalmente dopo aver avuto diversi problemi con i DNS di Aruba consiglio sempre di puntare i NS dei domini a servizi DNS più affidabili e flessibili nella configurazione.

scorpion

Ho web e mail server configurati su dominio gestito da Aruba con tutto quanto necessario (A, AAAA, CNAME, MX, SPF, DKIM, DMARC, MTA-STS) - concordo che l'interfaccia del DNS fa schifo e che mancano i record SRV e alcuni altri - ma dipende se ti servono o no. Certo, se volessi gestire il VoIP con record SRV non potrei.

Cloudflare poi fa TLS solo dal suo proxy in poi - con Let's Encrypt lo fai end-to-end. Per un piccolo sito da hobby cache, ecc. non sono così determinanti. Poi dipende cosa vuoi fare - minimo effort e avere tutto online presto, o se vuoi "giocarci" un po' per vedere come funziona.

[cancellato]
Si ovviamente non sto dicendo che i DNS di Aruba non funzionino in nessun caso, dico solo che ci sono alternative (anche gratuite e semplici da utilizzare) che funzionano meglio e sono molto più flessibili (es. wildcard, api di gestione e mille altre possibilità con cui sperimentare) quindi nel caso l'utente decidesse di usare ad esempio Cloudflare Pages avrebbe la possibilità di utilizzare anche il DNS con un paio di click in più.
Nel mio caso, per funzionalità mancanti, comodità e avendo avuto diverse volte problemi con i DNS Aruba (TTL non rispettati, record non aggiornati correttamente e tutto il resto), che sono stati risolti manualmente dai loro tecnici dopo diversi ticket e ore di attesa con servizi irraggiungibili, personalmente ho smesso di utilizzarli, non dico che tutti debbano farlo.

Per quanto riguarda il TLS Cloudflare ovviamente si occupa della crittografia dal suo proxy in poi se il traffico parte da un proprio server (tratto nel quale è comunque consigliabile crittografare il traffico con LetsEncrypt o altro certificato) ma usando Cloudflare Pages (uno dei servizi che consigliavo all'utente) la crittografia è end-to-end, dal web server (interno a Cloudflare) fino all'utente finale.

Comunque concordo con l'ultima affermazione: se @bortolotti80 vuole imparare a gestire il proprio server e le relative configurazioni (linux, ssh, ftp, nginx, dns, ssl e tutto il resto) consiglierei anch'io una VPS sulla quale partire da zero, se invece preferisce concentrarsi sullo sviluppo del sito web e non è interessato alla gestione dell'infrastruttura circostante è meglio usare uno di questi servizi di hosting e deployment automatizzati.

bortolotti80 ciò che mi ferma al momento è anche il costo

e allora vai di istanza gratuita su oracle cloud

bortolotti80 Grazie non lo sapevo, è praticamente uguale a Github Pages?

L’unica differenza è che invece di pubblicare il sito su un branch devi scrivere una pipeline che genera una cartella public con i contenuti del sito (molto meglio secondo me tra l’altro)

bortolotti80 Io ora ho provato a gestire i DNS del dominio acquistato con aruba (dominio+mail) con Cloudflare,

Ricapitolando, hai impostato in Aruba i Name Server (NS) di Cloudflare per il dominio?

bortolotti80 è corretto inserire come spf quel host di aruba?

Il server di posta qual è? Nel record SPF ci vanno gli IP o host che sono autorizzati a inviare email per il dominio. Con include aggiungi i record spf specificati - nel tuo caso quello di Aruba - ma dipende com'è strutturata la tua posta.

bortolotti80 Dmarc dovrei aver capito, che in caso di errori mi invia un riepilogo a quelle email

DMARC ti invia un report in XML a quella mail sia in caso di errore che in caso di successo. Se non l'hai già testato userei prima "quarantine" invece di "reject", e vedere se i report sono OK.

bortolotti80 mentre DKIM non posso fare nulla perchè è gestito da aruba

Se il server email è Aruba è così, devi avere il tuo server per impostare DKIM,

bortolotti80 ma da quanto ho capito necessita di un dominio di terzo livello.

No, non serve un terzo livello, basta un nome host.

bortolotti80 Ora non mi è chiaro se nel mio caso posso crearlo tramite i DNS (come www)

www è un host, non un dominio di livello superiore.

Devi avere essenzialmente un URL https://mta-sts.<dominio>.<tld> che risponda - es. https://mta-sts.example.org. A quell'URL ci deve poi essere una directory /.well-known dentro la quale c'è il file mta-sts.txt con le policy. Attenzione che quell'URL deve funzionare in TLS con un certificato valido. Se necessario devi creare un certificato con i Subject Alternative Name correttamente compilati - o usarne uno wildcard.

Comunque i terzi livelli li crei nel DNS, se non stai usando Aruba ma un altro name server puoi crearti tutti i terzi livelli che vuoi, senza pagare Aruba - che da questo punto di vista potrebbe accorgersi che non è più il 2000, soluzioni DNS alternative gratis esistono (come appunto usare Cloudflare, Hurricane Electric, ecc ecc.) e allungare il braccino. IMHO si fa prima con un host, in questo caso, comunque, io su Aruba uso un host.

bortolotti80 Da quanto ho capito se un server web ha MTA-STS in modalità enforce, io non potrei mai inviargli email, che scarterebbe

Il tuo record MTA-STS vale per il tuo server, stai dichiarando la tua policy. Se metti enforced se il server legge la policy e non è in grado di usare TLS non dovrebbe inviare il messaggio. Tieni presente che molti server ignorano MTA-STS ed inviano lo stesso - è utile per dire a quelli che lo usano che vuoi TLS.

Non vale al contrario, per inviare è il tuo mail server che dovrebbe leggere la policy, e se esiste rispettarla.

bortolotti80 aruba quando si utilizza un dns "esterno" da dei parametri di configurazione per la mail

Mmmh, qui devo capire cosa combina Aruba perché io non uso il loro mail server ma uno dedicato. Comunque, per la sola ricezione delle mail quello che conta è il record MX (Mail eXchange) nel DNS. Quando un mail server deve consegnare una email che non è per il suo dominio, fa una richiesta DNS MX per quel dominio esterno. Questa richiesta restituisce uno o più host, in ordine di priorità, dove trovare il mail server di destinazione.

Il record MX non viene usato quando leggi la posta (via client POP o IMAP) o la invi al tuo server locale (via client SMTP) che poi fa l'invio al server remoto, in questi casi viene fatta una query A (o AAAA).

Da quello che vedo Aruba richiede che nel tuo DNS ci sia un record MX che punti a mx.<tuodominio>.<estensione>. Poi ci vuole appunto l'host mx nel tuo dominio (quindi record A), e invece di usare più record MX con diverse priorità usa più record A sempre per l'host mx, con diversi IP, così da ottenere probabilmente una sorta di load balancing. Nota: i record MX possono puntare solo a record A, non CNAME.

Non capisco la distinzione per IMAP/POP/SMTP se usi TLS o no. In realtà nel primo caso puoi usare ad esempio imap.<tuodominio>.<ext> nella configurazione IMAP, nel secondo no. Comunque nei DNS non c'è alcuna indicazione se un host usa TLS o no.

bortolotti80 Dovrei inserire questi per SPF?

Io per l'SPF userei l'esempio v=spf1 include:_spf.aruba.it -all perché così fa direttamente riferimento al record SPF di Aruba ("include" significa "vatti a pescare il record spf indicato") e se Aruba lo cambia tu non devi toccare nulla. Se non hai altri server direi che va bene così. In alterativa puoi usare v=spf1 mx -all per indicare di usare l'MX, ma io in questo caso non controllando i server di posta preferirei il primo. L'esempio con il CIDR dipende da cosa combina Aruba con quella /19, e non lo userei.

bortolotti80 l'unico modo per testarlo è inviandosi email?

È il contrario. Devi inviare email tu, e dall'altra parte fanno il controllo SPF/DKIM/DMARC e verificano se è tutto a posto o meno, e poi ti inviano il report. Inviale a GMail o Outlook.com - questi di sicuro inviano rapporti, non tutti lo fanno, non è obbligatorio. Arrivano di solito il giorno dopo, il report è cumulativo e viene inviato a intervalli regolari (se c'è qualcosa da inviare)

Invece inviarti le mail serve per vedere se il record MX è corretto e se hai impostato mts-sta per ottenere i suoi rapporti.

bortolotti80 quindi potrei creare un host come ho fatto con www, però in questo caso non dovrei fare redirect per far funzionare mta-sts?

Esatto.

bortolotti80 Il mio certificato SSL dice lo posso utilizzare per example.com e *example.com,

A posto allora.

bortolotti80 Grazie, allora avevo capito giusto, aruba chiede 5€ l'anno per dominio di terzo livello, mi sembrava assurdo

Sì, sono rimasti fermi a vent'anni fa. Ogni tanto non li capisco, non credo che facciano grandi utili in quel modo. farebbero più bella figura a dartene almeno un tot senza rompere.

bortolotti80 non vale però per la ricezione perchè non lo supporto sul mio server

Attenzione che devi impostare MTA-STS solo se il tuo server supporta STARTTLS. Attenzione però che tu non controlli il certificato del server di Aruba, che non si presenterà con un certificato per il tuo dominio - e questo romperà i controlli. MTA-STS serve sia a forzare STARTTLS, sia a evitare man-in-the-middle presentando un certificato qualsiasi. Mi sa che non puoi usarlo.

bortolotti80 Ti ringrazio molto per il tuo tempo,

Se su un forum non si dà aiuto (o non si discute di qualcosa), a cosa serve? Poi tutto questo può servire anche ad altri (se hanno la pazienza di leggersi tutto, ah ah)

bortolotti80 se avessi un libro da consigliarmi posso comprarlo cosi da fare meno domande

Non so se c'è un libro che non sia scritto per uno specifico sistema (es. per le certificazioni Microsoft o di altri, o comunque dedicati a uno specifico prodotto) e che tratti questi argomenti in modo sufficientemente generico. Quello che so alla fine l'ho spulciato qua e là.