Aby web, panel nebo jiná služba na VPS fungovala pod vaší doménou, musí doména ukazovat na IP adresu VPS. Ukážeme, jaké záznamy vytvořit u běžného DNS hostingu i v Cloudflaru, kdy zapnout proxy Cloudflaru a kdy ne, a jak opravit typické chyby.
Co budete potřebovat
- VPS u StormHostu a její IP adresy ze záložky Síť
- Doménu a přístup ke správě jejích DNS záznamů
- Základy DNS (DNS záznamy srozumitelně)
- Asi 15 minut (plus čekání na DNS)
Co nastavíte#
V zákaznické zóně otevřete Moje služby, klikněte na VPS a v záložce Síť si zkopírujte IPv4 adresa (například 203.0.113.10) a IPv6 adresa (například 2001:db8::10).
| Název | Typ | Hodnota | K čemu |
|---|---|---|---|
@ | A | 203.0.113.10 | Kořen domény example.cz vede na VPS. |
@ | AAAA | 2001:db8::10 | Totéž pro IPv6. Jen pokud služba na VPS poslouchá i na IPv6. |
www | CNAME | example.cz | www.example.cz vede tam, kam kořen. |
panel (příklad) | A | 203.0.113.10 | Další služba na subdoméně, třeba panel nebo aplikace. |
Za example.cz dosaďte svou doménu a za IP adresy ty ze záložky Síť. Pokud chcete, aby www vedlo jinam než kořen, použijte místo CNAME vlastní A záznam.
AAAA jen s funkční IPv6
Zařízení s IPv6 (typicky mobilní data) zkoušejí AAAA záznam jako první. Když na IPv6 adrese web neposlouchá, budou mít problém, i když přes IPv4 vše funguje. Stejně tak Let's Encrypt při ověřování domény upřednostňuje IPv6. AAAA přidejte, až ověříte, že služba na IPv6 odpovídá (u Nginx direktiva listen [::]:80;).
Vytvoření záznamů#
Nejdřív zjistěte, kde DNS vaší domény běží: buď u registrátora, nebo jinde (například v Cloudflaru). Zjistíte to příkazem nslookup -type=NS example.cz (Windows) nebo dig +short example.cz NS (macOS, Linux). Záznamy upravujte tam, kam nameservery míří.
Cloudflare
Pokud doménu v Cloudflaru ještě nemáte, nejdřív ji přidejte podle další části „Přidání domény do Cloudflaru“.
- Přihlaste se do Cloudflaru, otevřete doménu a v levém menu přejděte na DNS › Records.
- Smažte staré A a AAAA záznamy pro
@awww, které vedou jinam (například na parkovací stránku registrátora). - Klikněte na Add record.
- Jako Type zvolte
A, do Name napište@(znamená kořen domény) a jako obsah zadejte IPv4 adresu VPS. - Nastavte Proxy status podle tabulky v části „DNS only, nebo Proxied?“ (pro web obvykle Proxied, pro všechno ostatní DNS only).
- Uložte tlačítkem Save.
- Stejně přidejte záznam typu
CNAMEs Namewwwa cílemexample.cz, případně AAAA záznam s IPv6 adresou.
Jiný DNS hosting
Rozhraní se u každého poskytovatele jmenuje trochu jinak (DNS záznamy, Zóna, DNS records), princip je stejný:
- Přihlaste se k poskytovateli, kam míří nameservery domény.
- Otevřete správu DNS záznamů domény.
- Smažte nebo upravte staré A a AAAA záznamy pro kořen a
www, které vedou jinam. - Přidejte A záznam: název
@(nebo prázdný, podle rozhraní), hodnota IPv4 adresa VPS. - Volitelně přidejte AAAA záznam s IPv6 adresou VPS.
- Přidejte CNAME: název
www, hodnotaexample.cz(některá rozhraní chtějíexample.cz.s tečkou). - TTL nastavte na
300, dokud vše ladíte, později můžete na3600. - Uložte změny.
Nové záznamy jsou obvykle vidět do pár minut. Změna existujícího záznamu se projeví až po vypršení jeho starého TTL.
Přidání domény do Cloudflaru#
Tento krok děláte jen jednou, pokud chcete DNS spravovat v Cloudflaru. Cloudflare rozhraní občas mění, názvy níže odpovídají jeho dokumentaci k 1. 10. 2026.
- V Cloudflaru otevřete Domains a klikněte na Onboard a domain.
- Zadejte kořenovou doménu (
example.cz, bezwww) a pokračujte. - Vyberte tarif. Pro nasměrování domény stačí bezplatný.
- Zkontrolujte záznamy, které Cloudflare našel. Doplňte chybějící (hlavně e-mailové MX a TXT, pokud doménu používáte pro poštu) a smažte nesprávné.
- Pokud má doména u registrátora zapnuté DNSSEC, vypněte ho u registrátora před změnou nameserverů. Jinak doména po změně přestane fungovat.
- U registrátora nahraďte stávající nameservery dvěma nameservery, které vám Cloudflare přidělil. Opište je přesně.
- Počkejte, až Cloudflare ukáže stav Active (bývá to do 24 hodin, přijde i e-mail).
- Volitelně pak zapněte DNSSEC znovu, tentokrát přes Cloudflare.
Nezapomeňte na e-mail
Po změně nameserverů platí jen záznamy v Cloudflaru. Pokud doménu používáte pro e-mail a MX nebo TXT záznamy do Cloudflaru nepřenesete, pošta na doménu přestane chodit. Před změnou NS si opište všechny záznamy z původní správy DNS.
DNS only, nebo Proxied?#
Každý A, AAAA a CNAME záznam v Cloudflaru má Proxy status:
- Proxied (oranžový mráček): návštěvníci se připojují k serverům Cloudflaru a ten provoz přeposílá na VPS. Cloudflare přidává ochranu a mezipaměť a skrývá IP adresu VPS. Funguje jen pro web (HTTP a HTTPS) na podporovaných portech: HTTP 80, 8080, 8880, 2052, 2082, 2086, 2095 a HTTPS 443, 2053, 2083, 2087, 2096, 8443.
- DNS only (šedý mráček): Cloudflare jen odpovídá IP adresou VPS a do provozu nijak nezasahuje. Funguje pro všechno.
Proxied záznamy mají vždy TTL Auto (300 sekund) a jde je nastavit jen u typů A, AAAA a CNAME.
| Služba na VPS | Proxy status | Proč |
|---|---|---|
| Web (Nginx, WordPress) na portech 80/443 | Proxied (může být i DNS only) | Ochrana a mezipaměť. Vyžaduje SSL režim Full (strict), viz níže. |
| Webové rozhraní herního panelu na vlastní VPS (443) | Proxied nebo DNS only | Je to web; za proxy ale musí aplikace důvěřovat IP adresám Cloudflaru (podrobně v návodu k panelu). |
| Démon herního panelu na nodu (typicky porty 8080 a SFTP 2022) | DNS only | Komunikace nodu a SFTP přes proxy nefungují správně (návod k nodu). |
| SSH (22) | DNS only | Proxy přeposílá jen web. |
| Minecraft, FiveM, Rust a jiné hry | DNS only | Herní protokoly (TCP i UDP) proxy nepřenese. |
Poštovní server (mail.example.cz) | DNS only | Poštu proxy nepřenese a cíl MX musí ukazovat přímo na server. |
| SFTP, databáze, vlastní porty aplikací | DNS only | Nejde o webový provoz. |
Skrytí IP adresy funguje jen napůl
Proxied záznam skryje IP adresu VPS, ale jen dokud ji neprozradí jiný záznam. Pokud máte mc.example.cz jako DNS only na stejnou IP, kdokoli ji zjistí. U herních serverů se tomu vyhnout nedá, hráči IP potřebují.
SSL/TLS režim v Cloudflaru#
Když je web Proxied, existují dvě spojení: mezi návštěvníkem a Cloudflarem a mezi Cloudflarem a vaší VPS. Druhé určuje režim v Cloudflaru v sekci SSL/TLS na stránce Overview.
| Režim | Spojení z Cloudflaru na VPS | Doporučení |
|---|---|---|
| Off | Bez šifrování vůbec. | Nepoužívat. |
| Flexible | Nešifrované HTTP. | Nepoužívat: data k VPS jdou nešifrovaně a vzniká nekonečné přesměrování, když VPS přesměrovává na HTTPS. |
| Full | HTTPS, ale certifikát VPS se nekontroluje. | Jen dočasně, než na VPS nastavíte platný certifikát. |
| Full (strict) | HTTPS s kontrolou platného certifikátu. | Doporučeno. Na VPS potřebujete certifikát například od Let's Encrypt. |
| Strict (SSL-Only Origin Pull) | Vždy HTTPS s kontrolou certifikátu, i když návštěvník přišel přes HTTP. | Pro pokročilé. |
Cloudflare nabízí i automatický výběr režimu (Automatic SSL/TLS), který zvolí nejbezpečnější režim, jaký váš server zvládne. Spolehlivější je nastavit Full (strict) ručně, jakmile máte na VPS certifikát.
První certifikát Let's Encrypt za Cloudflarem
Nejspolehlivější postup: nechte záznam nejdřív jako DNS only, na VPS získejte certifikát (Certbot, návod Nginx a HTTPS), pak záznam přepněte na Proxied a režim na Full (strict). Ověření Let's Encrypt (HTTP-01) probíhá vždy přes port 80, ten proto musí být na VPS otevřený.
Firewall na VPS#
Aby web odpovídal, musí být na VPS otevřené porty 80 a 443 (TCP):
- ve firewallu v zákaznické zóně: Firewall v zákaznické zóně,
- ve firewallu uvnitř VPS, pokud ho používáte: UFW.
Ověření#
Zkontrolujte, kam doména vede:
bash dig +short example.cz A dig +short www.example.cz Adig +short– vypíše jen hodnotu záznamu.example.cz A– jméno a typ záznamu.
U DNS only uvidíte IP adresu VPS. U Proxied uvidíte IP adresy Cloudflaru, to je v pořádku. Ve Windows použijte
nslookup example.cz.Zkontrolujte, že web odpovídá:
bash curl -I http://example.czcurl– stáhne odpověď webového serveru.-I– jen hlavičky odpovědi, bez obsahu stránky.
Odpověď začíná stavovým řádkem, například
HTTP/1.1 200 OKnebo přesměrováním301. U Proxied záznamu je v hlavičkáchserver: cloudflare.Ve Windows napište v PowerShellu
curl.exe -I http://example.cz. Samotnécurlje ve Windows PowerShellu zkratka pro jiný příkaz (Invoke-WebRequest) a přepínač-Inezná.Otevřete doménu v prohlížeči.
Pro webový server a HTTPS pokračujte článkem Web na VPS: Nginx a Let's Encrypt, pro Minecraft na vlastní doméně článkem Adresa serveru a doména.
Když něco nefunguje#
Cloudflare ukazuje Error 521: Web server is down#
Cloudflare se k VPS dostal, ale VPS spojení odmítla. Na VPS neběží webový server, nebo neposlouchá na správném portu.
systemctl status nginx
ss -tlnp | grep -E ':(80|443) 'systemctl status nginx– ukáže, jestli služba Nginx běží (active (running)).ss -tlnp– vypíše naslouchající porty:-tTCP,-ljen naslouchající,-nčísla místo názvů,-pprogram, který port drží.grep -E ':(80|443) '– vybere jen řádky s porty 80 a 443.
Pokud Nginx neběží, spusťte ho (systemctl start nginx) a podívejte se do výpisu stavu na chybu. Pokud běží, zkontrolujte firewall: porty 80 a 443 musí být povolené i pro IP adresy Cloudflaru.
Error 522: Connection timed out#
Cloudflare se k VPS vůbec nedostal. Nejčastěji firewall zahazuje provoz (port 80/443 není povolený), v DNS je špatná IP adresa, nebo je VPS vypnutá či přetížená. Zkontrolujte IP v záznamu proti záložce Síť a pravidla firewallu.
ERR_TOO_MANY_REDIRECTS (příliš mnoho přesměrování)#
V Cloudflaru je režim Flexible a server přesměrovává HTTP na HTTPS. Cloudflare k serveru chodí přes HTTP, server ho pošle na HTTPS, a tak pořád dokola. Nastavte režim Full (strict) (na VPS musí být certifikát).
Error 526: Invalid SSL certificate#
Režim je Full (strict) a certifikát na VPS Cloudflare neuznal: vypršel, je vystavený na jiné jméno, nebo je self-signed. Získejte platný certifikát pro přesně tuto doménu (i pro www, pokud ho používáte), nebo dočasně přepněte záznam na DNS only. Režim Full by chybu skryl, protože certifikát nekontroluje, ale spojení k VPS by pak nebylo ověřené.
Error 525: SSL handshake failed#
Režim je Full nebo Full (strict), ale na portu 443 VPS se nepodařilo navázat HTTPS spojení. Nejčastěji web na portu 443 vůbec nemá nastavený certifikát (v Nginx chybí blok listen 443 ssl). Nastavte HTTPS podle návodu Nginx a HTTPS, nebo dočasně přepněte záznam na DNS only.
Web funguje, ale SSH, Minecraft nebo SFTP přes doménu ne#
Záznam je Proxied. Pro tyto služby vytvořte samostatnou subdoménu s DNS only (například ssh.example.cz nebo mc.example.cz), nebo se připojujte přímo na IP adresu.
Certbot hlásí chybu ověření za Cloudflarem#
Přepněte záznam dočasně na DNS only, zkontrolujte, že port 80 je otevřený, a certifikát vydejte znovu. Pokud máte AAAA záznam, ověřte, že web odpovídá i na IPv6, nebo AAAA dočasně smažte.
Doména pořád ukazuje parkovací stránku registrátora#
U domény zůstal starý A záznam nebo nameservery míří jinam, než kde jste záznam upravili. Projděte článek DNS záznamy srozumitelně a zkontrolujte NS.
Shrnutí
- Pro web nastavte A záznam
@na IPv4 VPS, CNAMEwwwna doménu a AAAA jen s funkční IPv6. - Záznamy upravujte tam, kam míří nameservery domény.
- V Cloudflaru dávejte Proxied (oranžový mráček) jen webu; SSH, hry, poštu a SFTP nechte jako DNS only.
- Používejte SSL režim Full (strict) s platným certifikátem na VPS, Flexible nikdy.
- Chyba 521 znamená, že VPS spojení odmítla, 522 že se k ní Cloudflare nedostal.