Damit eine Website, ein Panel oder ein anderer Dienst auf Ihrem VPS unter Ihrer Domain funktioniert, muss die Domain auf die IP-Adresse des VPS zeigen. Wir zeigen Ihnen, welche Einträge Sie bei einem gewöhnlichen DNS-Anbieter und in Cloudflare anlegen, wann Sie den Cloudflare-Proxy einschalten und wann nicht, und wie Sie typische Fehler beheben.
Was Sie brauchen
- Ein StormHost-VPS und seine IP-Adressen aus der Registerkarte Netzwerk
- Eine Domain und Zugang zur Verwaltung ihrer DNS-Einträge
- DNS-Grundlagen (DNS-Einträge verständlich erklärt)
- Etwa 15 Minuten (plus Wartezeit auf DNS)
Was Sie einrichten#
Öffnen Sie im Kundenbereich Meine Dienste, klicken Sie auf den VPS und kopieren Sie in der Registerkarte Netzwerk die IPv4-Adresse (zum Beispiel 203.0.113.10) und die IPv6-Adresse (zum Beispiel 2001:db8::10).
| Name | Typ | Wert | Wofür |
|---|---|---|---|
@ | A | 203.0.113.10 | Der Domain-Root example.cz zeigt auf den VPS. |
@ | AAAA | 2001:db8::10 | Dasselbe für IPv6. Nur wenn der Dienst auf dem VPS auch auf IPv6 lauscht. |
www | CNAME | example.cz | www.example.cz zeigt dorthin, wohin der Root zeigt. |
panel (Beispiel) | A | 203.0.113.10 | Ein weiterer Dienst auf einer Subdomain, etwa ein Panel oder eine App. |
Ersetzen Sie example.cz durch Ihre Domain und die IP-Adressen durch die aus der Registerkarte Netzwerk. Wenn www woandershin zeigen soll als der Root, verwenden Sie statt eines CNAME einen eigenen A-Eintrag.
AAAA nur mit funktionierendem IPv6
Geräte mit IPv6 (typischerweise über mobile Daten) versuchen zuerst den AAAA-Eintrag. Wenn die Website nicht auf der IPv6-Adresse lauscht, haben sie Probleme, obwohl über IPv4 alles funktioniert. Auch Let's Encrypt bevorzugt bei der Domain-Validierung IPv6. Fügen Sie AAAA erst hinzu, wenn Sie bestätigt haben, dass der Dienst über IPv6 antwortet (bei Nginx die Direktive listen [::]:80;).
Einträge anlegen#
Finden Sie zuerst heraus, wo das DNS Ihrer Domain läuft: entweder bei Ihrem Registrar oder woanders (zum Beispiel in Cloudflare). Prüfen können Sie das mit nslookup -type=NS example.cz (Windows) oder dig +short example.cz NS (macOS, Linux). Bearbeiten Sie die Einträge dort, wohin die Nameserver zeigen.
Cloudflare
Wenn Ihre Domain noch nicht in Cloudflare ist, fügen Sie sie zuerst hinzu, wie im nächsten Abschnitt „Domain zu Cloudflare hinzufügen“ beschrieben.
- Melden Sie sich bei Cloudflare an, öffnen Sie die Domain und gehen Sie im linken Menü zu DNS › Records.
- Löschen Sie alte A- und AAAA-Einträge für
@undwww, die woandershin zeigen (zum Beispiel auf die Parkseite des Registrars). - Klicken Sie auf Add record.
- Wählen Sie als Type
A, tragen Sie bei Name@ein (das bedeutet den Domain-Root) und geben Sie als Inhalt die IPv4-Adresse des VPS ein. - Stellen Sie den Proxy status gemäß der Tabelle in „DNS only oder Proxied?“ ein (in der Regel Proxied für eine Website, DNS only für alles andere).
- Speichern Sie mit der Schaltfläche Save.
- Fügen Sie auf dieselbe Weise einen
CNAME-Eintrag mit Namewwwund dem Zielexample.czhinzu, und bei Bedarf einen AAAA-Eintrag mit der IPv6-Adresse.
Anderer DNS-Anbieter
Jeder Anbieter benennt den Bereich etwas anders (zum Beispiel DNS-Einträge, DNS-Zone oder Zone editor), das Prinzip ist aber dasselbe:
- Melden Sie sich bei dem Anbieter an, auf den die Nameserver Ihrer Domain zeigen.
- Öffnen Sie die Verwaltung der DNS-Einträge der Domain.
- Löschen oder bearbeiten Sie alte A- und AAAA-Einträge für den Root und
www, die woandershin zeigen. - Fügen Sie einen A-Eintrag hinzu: Name
@(oder leer, je nach Oberfläche), Wert die IPv4-Adresse des VPS. - Fügen Sie optional einen AAAA-Eintrag mit der IPv6-Adresse des VPS hinzu.
- Fügen Sie einen CNAME hinzu: Name
www, Wertexample.cz(manche Oberflächen verlangenexample.cz.mit Punkt). - Stellen Sie die TTL während des Testens auf
300; später können Sie sie auf3600erhöhen. - Speichern Sie die Änderungen.
Neue Einträge erscheinen in der Regel innerhalb weniger Minuten. Eine Änderung an einem bestehenden Eintrag wirkt erst, wenn seine alte TTL abgelaufen ist.
Domain zu Cloudflare hinzufügen#
Das tun Sie nur einmal, wenn Sie DNS in Cloudflare verwalten möchten. Cloudflare ändert seine Oberfläche von Zeit zu Zeit; die Bezeichnungen unten entsprechen seiner Dokumentation mit Stand 1. Oktober 2026.
- Öffnen Sie in Cloudflare Domains und klicken Sie auf Onboard a domain.
- Geben Sie die Root-Domain ein (
example.cz, ohnewww) und fahren Sie fort. - Wählen Sie einen Tarif. Der kostenlose reicht, um eine Domain einzurichten.
- Prüfen Sie die Einträge, die Cloudflare gefunden hat. Ergänzen Sie fehlende (vor allem MX- und TXT-Einträge für E-Mail, wenn Sie die Domain dafür nutzen) und löschen Sie falsche.
- Wenn für die Domain bei Ihrem Registrar DNSSEC eingeschaltet ist, schalten Sie es beim Registrar aus, bevor Sie die Nameserver ändern. Sonst funktioniert die Domain nach der Änderung nicht mehr.
- Ersetzen Sie bei Ihrem Registrar die aktuellen Nameserver durch die zwei Nameserver, die Cloudflare Ihnen zugewiesen hat. Kopieren Sie sie exakt.
- Warten Sie, bis Cloudflare den Status Active anzeigt (in der Regel innerhalb von 24 Stunden; Sie erhalten auch eine E-Mail).
- Schalten Sie DNSSEC danach optional wieder ein, diesmal über Cloudflare.
E-Mail nicht vergessen
Nach dem Nameserver-Wechsel gelten nur noch die Einträge in Cloudflare. Wenn Sie die Domain für E-Mail nutzen und die MX- oder TXT-Einträge nicht nach Cloudflare übernehmen, kommen E-Mails an die Domain nicht mehr an. Notieren Sie sich vor dem NS-Wechsel alle Einträge aus Ihrer ursprünglichen DNS-Verwaltung.
DNS only oder Proxied?#
Jeder A-, AAAA- und CNAME-Eintrag in Cloudflare hat einen Proxy status:
- Proxied (orangefarbene Wolke): Besucher verbinden sich mit den Servern von Cloudflare, die den Verkehr an Ihren VPS weiterleiten. Cloudflare fügt Schutz und Caching hinzu und verbirgt die IP-Adresse des VPS. Das funktioniert nur für Websites (HTTP und HTTPS) auf unterstützten Ports: HTTP 80, 8080, 8880, 2052, 2082, 2086, 2095 und HTTPS 443, 2053, 2083, 2087, 2096, 8443.
- DNS only (graue Wolke): Cloudflare antwortet nur mit der IP-Adresse des VPS und rührt den Verkehr nicht an. Das funktioniert für alles.
Proxied-Einträge haben die TTL immer auf Auto (300 Sekunden) und lassen sich nur mit den Typen A, AAAA und CNAME verwenden.
| Dienst auf dem VPS | Proxy status | Warum |
|---|---|---|
| Website (Nginx, WordPress) auf den Ports 80/443 | Proxied (DNS only funktioniert auch) | Schutz und Caching. Erfordert den SSL-Modus Full (strict), siehe unten. |
| Die Weboberfläche eines Game-Panels auf Ihrem eigenen VPS (443) | Proxied oder DNS only | Es ist eine Website; hinter dem Proxy muss die App allerdings den IP-Adressen von Cloudflare vertrauen (Details in der Panel-Anleitung). |
| Der Daemon eines Game-Panels auf einer Node (typischerweise Port 8080 und SFTP 2022) | DNS only | Die Node-Kommunikation und SFTP funktionieren über den Proxy nicht richtig (Node-Anleitung). |
| SSH (22) | DNS only | Der Proxy leitet nur Webverkehr weiter. |
| Minecraft, FiveM, Rust und andere Spiele | DNS only | Der Proxy kann keine Spielprotokolle (TCP oder UDP) transportieren. |
Mailserver (mail.example.cz) | DNS only | Der Proxy kann keine E-Mail transportieren, und das MX-Ziel muss direkt auf den Server zeigen. |
| SFTP, Datenbanken, eigene Ports Ihrer Apps | DNS only | Das ist kein Webverkehr. |
Das Verbergen der IP-Adresse hat Grenzen
Ein Proxied-Eintrag verbirgt die IP-Adresse Ihres VPS, aber nur so lange, bis ein anderer Eintrag sie verrät. Wenn Sie mc.example.cz als DNS only auf dieselbe IP zeigen lassen, kann sie jeder herausfinden. Bei Gameservern lässt sich das nicht vermeiden; die Spieler brauchen die IP.
SSL/TLS-Modus in Cloudflare#
Wenn eine Website Proxied ist, gibt es zwei Verbindungen: zwischen dem Besucher und Cloudflare sowie zwischen Cloudflare und Ihrem VPS. Die zweite legt der Modus in Cloudflare fest, im Bereich SSL/TLS auf der Seite Overview.
| Modus | Verbindung von Cloudflare zum VPS | Empfehlung |
|---|---|---|
| Off | Gar keine Verschlüsselung. | Nicht verwenden. |
| Flexible | Unverschlüsseltes HTTP. | Nicht verwenden: Daten zum VPS reisen unverschlüsselt, und Sie erhalten eine endlose Weiterleitungsschleife, wenn der VPS auf HTTPS umleitet. |
| Full | HTTPS, das Zertifikat des VPS wird aber nicht geprüft. | Nur vorübergehend, bis Sie ein gültiges Zertifikat auf dem VPS eingerichtet haben. |
| Full (strict) | HTTPS mit Prüfung auf ein gültiges Zertifikat. | Empfohlen. Sie brauchen ein Zertifikat auf dem VPS, zum Beispiel von Let's Encrypt. |
| Strict (SSL-Only Origin Pull) | Immer HTTPS mit Zertifikatsprüfung, auch wenn der Besucher über HTTP kam. | Für fortgeschrittene Nutzer. |
Cloudflare bietet auch eine automatische Moduswahl an (Automatic SSL/TLS), die den sichersten Modus wählt, den Ihr Server beherrscht. Zuverlässiger ist es, Full (strict) von Hand einzustellen, sobald Sie ein Zertifikat auf dem VPS haben.
Ihr erstes Let's-Encrypt-Zertifikat hinter Cloudflare
Der zuverlässigste Weg: Lassen Sie den Eintrag zunächst auf DNS only, holen Sie sich ein Zertifikat auf dem VPS (Certbot, Anleitung Nginx und HTTPS), und schalten Sie dann den Eintrag auf Proxied und den Modus auf Full (strict). Die Validierung von Let's Encrypt (HTTP-01) läuft immer über Port 80, dieser Port muss auf dem VPS also offen sein.
Firewall auf dem VPS#
Damit die Website antwortet, müssen auf dem VPS die Ports 80 und 443 (TCP) offen sein:
- in der Firewall im Kundenbereich: Firewall im Kundenbereich,
- in der Firewall innerhalb des VPS, falls Sie eine verwenden: UFW.
Überprüfung#
Prüfen Sie, wohin die Domain zeigt:
bash dig +short example.cz A dig +short www.example.cz Adig +short– gibt nur den Wert des Eintrags aus.example.cz A– der Name und der Eintragstyp.
Bei DNS only sehen Sie die IP-Adresse des VPS. Bei Proxied sehen Sie die IP-Adressen von Cloudflare, was in Ordnung ist. Verwenden Sie unter Windows
nslookup example.cz.Prüfen Sie, dass die Website antwortet:
bash curl -I http://example.czcurl– ruft die Antwort des Webservers ab.-I– nur die Antwort-Header, ohne den Seiteninhalt.
Die Antwort beginnt mit einer Statuszeile, zum Beispiel
HTTP/1.1 200 OKoder einer301-Weiterleitung. Bei einem Proxied-Eintrag enthalten die Headerserver: cloudflare.Geben Sie unter Windows in PowerShell
curl.exe -I http://example.czein. Das bloßecurlin Windows PowerShell ist ein Alias für einen anderen Befehl (Invoke-WebRequest), der den Schalter-Inicht kennt.Öffnen Sie die Domain in Ihrem Browser.
Für den Webserver und HTTPS fahren Sie mit Website auf einem VPS: Nginx und Let's Encrypt fort; für Minecraft auf Ihrer eigenen Domain mit Serveradresse und Domain.
Fehlerbehebung#
Cloudflare zeigt Error 521: Web server is down#
Cloudflare hat den VPS erreicht, der VPS hat die Verbindung aber abgelehnt. Auf dem VPS läuft kein Webserver, oder er lauscht nicht auf dem richtigen Port.
systemctl status nginx
ss -tlnp | grep -E ':(80|443) 'systemctl status nginx– zeigt, ob der Dienst Nginx läuft (active (running)).ss -tlnp– listet lauschende Ports auf:-tTCP,-lnur lauschende,-nZahlen statt Namen,-pdas Programm, das den Port hält.grep -E ':(80|443) '– behält nur die Zeilen mit den Ports 80 und 443.
Wenn Nginx nicht läuft, starten Sie ihn (systemctl start nginx) und suchen Sie den Fehler in der Statusausgabe. Wenn er läuft, prüfen Sie die Firewall: Die Ports 80 und 443 müssen auch für die IP-Adressen von Cloudflare erlaubt sein.
Error 522: Connection timed out#
Cloudflare konnte den VPS gar nicht erreichen. Meist verwirft die Firewall den Verkehr (Port 80/443 ist nicht erlaubt), im DNS steht die falsche IP-Adresse, oder der VPS ist gestoppt oder überlastet. Vergleichen Sie die IP im Eintrag mit der Registerkarte Netzwerk und prüfen Sie die Firewall-Regeln.
ERR_TOO_MANY_REDIRECTS (zu viele Weiterleitungen)#
Cloudflare steht im Modus Flexible, und der Server leitet HTTP auf HTTPS um. Cloudflare verbindet sich mit dem Server über HTTP, der Server schickt es zu HTTPS, und so geht es im Kreis. Stellen Sie den Modus auf Full (strict) (der VPS braucht ein Zertifikat).
Error 526: Invalid SSL certificate#
Der Modus ist Full (strict), und Cloudflare hat das Zertifikat auf dem VPS nicht akzeptiert: Es ist abgelaufen, wurde für einen anderen Namen ausgestellt oder ist selbstsigniert. Besorgen Sie ein gültiges Zertifikat für genau diese Domain (und auch für www, falls Sie es verwenden), oder schalten Sie den Eintrag vorübergehend auf DNS only. Der Modus Full würde den Fehler verbergen, weil er das Zertifikat nicht prüft, die Verbindung zum VPS wäre dann aber ungeprüft.
Error 525: SSL handshake failed#
Der Modus ist Full oder Full (strict), aber es konnte keine HTTPS-Verbindung zu Port 443 auf dem VPS aufgebaut werden. Meist ist für die Website auf Port 443 gar kein Zertifikat eingerichtet (in der Nginx-Konfiguration fehlt ein Block listen 443 ssl). Richten Sie HTTPS nach der Anleitung Nginx und HTTPS ein oder schalten Sie den Eintrag vorübergehend auf DNS only.
Die Website funktioniert, SSH, Minecraft oder SFTP über die Domain aber nicht#
Der Eintrag ist Proxied. Legen Sie für diese Dienste eine eigene Subdomain mit DNS only an (zum Beispiel ssh.example.cz oder mc.example.cz) oder verbinden Sie sich direkt mit der IP-Adresse.
Certbot meldet hinter Cloudflare einen Validierungsfehler#
Schalten Sie den Eintrag vorübergehend auf DNS only, prüfen Sie, dass Port 80 offen ist, und stellen Sie das Zertifikat erneut aus. Wenn Sie einen AAAA-Eintrag haben, stellen Sie sicher, dass die Website auch über IPv6 antwortet, oder löschen Sie den AAAA-Eintrag vorübergehend.
Die Domain zeigt weiterhin die Parkseite des Registrars#
Für die Domain ist noch ein alter A-Eintrag gesetzt, oder die Nameserver zeigen woandershin als dorthin, wo Sie den Eintrag bearbeitet haben. Gehen Sie DNS-Einträge verständlich erklärt durch und prüfen Sie die NS.
Zusammenfassung
- Setzen Sie für eine Website einen A-Eintrag für
@auf die IPv4 des VPS, einen CNAME fürwwwauf die Domain, und AAAA nur mit funktionierendem IPv6. - Bearbeiten Sie die Einträge dort, wohin die Nameserver der Domain zeigen.
- Verwenden Sie in Cloudflare Proxied (orangefarbene Wolke) nur für Websites; lassen Sie SSH, Spiele, E-Mail und SFTP auf DNS only.
- Verwenden Sie den SSL-Modus Full (strict) mit einem gültigen Zertifikat auf dem VPS, nie Flexible.
- Fehler 521 bedeutet, dass der VPS die Verbindung abgelehnt hat, 522, dass Cloudflare ihn nicht erreichen konnte.
Weiterführende Links#
- Cloudflare: Proxy status (öffnet sich in einem neuen Fenster)
- Cloudflare: Vom Proxy unterstützte Netzwerkports (öffnet sich in einem neuen Fenster)
- Cloudflare: SSL/TLS encryption modes (öffnet sich in einem neuen Fenster)
- Cloudflare: Domain hinzufügen (Full setup) (öffnet sich in einem neuen Fenster)
- Let's Encrypt: Challenge types (öffnet sich in einem neuen Fenster)