Om een website, een panel of een andere dienst op je VPS onder je eigen domein te laten werken, moet het domein naar het IP-adres van de VPS wijzen. We laten zien welke records je aanmaakt bij een gewone DNS-provider en in Cloudflare, wanneer je de proxy van Cloudflare aanzet en wanneer niet, en hoe je typische fouten oplost.
Wat je nodig hebt
- Een VPS bij StormHost en de IP-adressen ervan van het tabblad Netwerk
- Een domein en toegang tot het beheer van de DNS-records ervan
- Basiskennis van DNS (DNS-records uitgelegd)
- Ongeveer 15 minuten (plus wachten op DNS)
Wat je instelt#
Open in je klantaccount Mijn diensten, klik op de VPS en kopieer op het tabblad Netwerk het IPv4-adres (bijvoorbeeld 203.0.113.10) en het IPv6-adres (bijvoorbeeld 2001:db8::10).
| Naam | Type | Waarde | Waarvoor |
|---|---|---|---|
@ | A | 203.0.113.10 | De root van het domein example.cz wijst naar de VPS. |
@ | AAAA | 2001:db8::10 | Hetzelfde voor IPv6. Alleen als de dienst op de VPS ook op IPv6 luistert. |
www | CNAME | example.cz | www.example.cz wijst naar dezelfde plek als de root. |
panel (voorbeeld) | A | 203.0.113.10 | Nog een dienst op een subdomein, bijvoorbeeld een panel of een applicatie. |
Vervang example.cz door je eigen domein en de IP-adressen door die van het tabblad Netwerk. Wil je dat www ergens anders naartoe wijst dan de root, gebruik dan in plaats van een CNAME een eigen A-record.
AAAA alleen met werkende IPv6
Apparaten met IPv6 (meestal mobiele data) proberen het AAAA-record als eerste. Als de website niet op het IPv6-adres luistert, krijgen ze problemen, ook al werkt alles via IPv4. Ook Let's Encrypt geeft bij het valideren van het domein de voorkeur aan IPv6. Voeg AAAA pas toe als je hebt gecontroleerd dat de dienst op IPv6 antwoordt (bij Nginx de directive listen [::]:80;).
De records aanmaken#
Zoek eerst uit waar de DNS van je domein draait: bij de registrar of ergens anders (bijvoorbeeld in Cloudflare). Dat zie je met het commando nslookup -type=NS example.cz (Windows) of dig +short example.cz NS (macOS, Linux). Pas de records aan waar de nameservers naartoe wijzen.
Cloudflare
Staat je domein nog niet in Cloudflare, voeg het dan eerst toe volgens het volgende onderdeel “Een domein toevoegen aan Cloudflare”.
- Log in bij Cloudflare, open het domein en ga in het linkermenu naar DNS › Records.
- Verwijder oude A- en AAAA-records voor
@enwwwdie ergens anders naartoe wijzen (bijvoorbeeld naar de parkeerpagina van de registrar). - Klik op Add record.
- Kies bij Type
A, typ bij Name@(dat staat voor de root van het domein) en vul als inhoud het IPv4-adres van de VPS in. - Stel de Proxy status in volgens de tabel in het onderdeel “DNS only of Proxied?” (voor een website meestal Proxied, voor al het andere DNS only).
- Sla op met de knop Save.
- Voeg op dezelfde manier een record van het type
CNAMEtoe met Namewwwen als doelexample.cz, en eventueel een AAAA-record met het IPv6-adres.
Andere DNS-provider
De interface heet bij elke provider net iets anders (DNS-records, DNS-zone, DNS-beheer), het principe is hetzelfde:
- Log in bij de provider waar de nameservers van het domein naartoe wijzen.
- Open het beheer van de DNS-records van het domein.
- Verwijder of wijzig oude A- en AAAA-records voor de root en
wwwdie ergens anders naartoe wijzen. - Voeg een A-record toe: naam
@(of leeg, afhankelijk van de interface), waarde het IPv4-adres van de VPS. - Voeg eventueel een AAAA-record toe met het IPv6-adres van de VPS.
- Voeg een CNAME toe: naam
www, waardeexample.cz(sommige interfaces willenexample.cz.met een punt). - Zet de TTL op
300zolang je nog dingen aan het uitproberen bent, later kan die naar3600. - Sla de wijzigingen op.
Nieuwe records zijn meestal binnen een paar minuten zichtbaar. Een wijziging van een bestaand record wordt pas zichtbaar als de oude TTL ervan is verlopen.
Een domein toevoegen aan Cloudflare#
Deze stap doe je maar één keer, als je de DNS in Cloudflare wilt beheren. Cloudflare past de interface af en toe aan, de namen hieronder komen overeen met de documentatie van Cloudflare per 1 oktober 2026.
- Open in Cloudflare Domains en klik op Onboard a domain.
- Vul het hoofddomein in (
example.cz, zonderwww) en ga verder. - Kies een abonnement. Om een domein te laten verwijzen is het gratis abonnement genoeg.
- Controleer de records die Cloudflare heeft gevonden. Vul aan wat ontbreekt (vooral de MX- en TXT-records voor e-mail, als je het domein voor mail gebruikt) en verwijder wat niet klopt.
- Staat bij de registrar DNSSEC voor het domein aan, zet het dan bij de registrar uit voordat je de nameservers wijzigt. Anders werkt het domein na de wijziging niet meer.
- Vervang bij de registrar de huidige nameservers door de twee nameservers die Cloudflare je heeft toegewezen. Neem ze exact over.
- Wacht tot Cloudflare de status Active toont (meestal binnen 24 uur, je krijgt ook een e-mail).
- Zet DNSSEC daarna eventueel weer aan, deze keer via Cloudflare.
Vergeet de e-mail niet
Na het wijzigen van de nameservers gelden alleen de records in Cloudflare. Als je het domein voor e-mail gebruikt en de MX- of TXT-records niet naar Cloudflare overzet, komt er geen mail meer aan op het domein. Noteer vóór het wijzigen van de NS alle records uit het oorspronkelijke DNS-beheer.
DNS only of Proxied?#
Elk A-, AAAA- en CNAME-record in Cloudflare heeft een Proxy status:
- Proxied (oranje wolkje): bezoekers maken verbinding met de servers van Cloudflare, en Cloudflare stuurt het verkeer door naar de VPS. Cloudflare voegt bescherming en caching toe en verbergt het IP-adres van de VPS. Werkt alleen voor web (HTTP en HTTPS) op ondersteunde poorten: HTTP 80, 8080, 8880, 2052, 2082, 2086, 2095 en HTTPS 443, 2053, 2083, 2087, 2096, 8443.
- DNS only (grijs wolkje): Cloudflare antwoordt alleen met het IP-adres van de VPS en bemoeit zich verder niet met het verkeer. Werkt voor alles.
Proxied-records hebben altijd de TTL Auto (300 seconden) en kunnen alleen worden ingesteld bij de typen A, AAAA en CNAME.
| Dienst op de VPS | Proxy status | Waarom |
|---|---|---|
| Website (Nginx, WordPress) op de poorten 80/443 | Proxied (DNS only kan ook) | Bescherming en caching. Vereist de SSL-modus Full (strict), zie hieronder. |
| De webinterface van een gamepanel op een eigen VPS (443) | Proxied of DNS only | Het is een website; achter de proxy moet de applicatie de IP-adressen van Cloudflare wel vertrouwen (meer in de handleiding voor het panel). |
| De daemon van het gamepanel op een node (meestal de poorten 8080 en SFTP 2022) | DNS only | De communicatie van de node en SFTP werken niet goed via de proxy (handleiding voor de node). |
| SSH (22) | DNS only | De proxy stuurt alleen webverkeer door. |
| Minecraft, FiveM, Rust en andere games | DNS only | Gameprotocollen (TCP en UDP) kan de proxy niet doorgeven. |
Mailserver (mail.example.cz) | DNS only | Mail kan de proxy niet doorgeven en het doel van de MX moet rechtstreeks naar de server wijzen. |
| SFTP, databases, eigen poorten van applicaties | DNS only | Het is geen webverkeer. |
Het IP-adres verbergen werkt maar half
Een Proxied-record verbergt het IP-adres van de VPS, maar alleen zolang een ander record het niet verraadt. Als je mc.example.cz als DNS only naar hetzelfde IP hebt staan, kan iedereen het achterhalen. Bij gameservers is dat niet te vermijden, spelers hebben het IP nodig.
SSL/TLS-modus in Cloudflare#
Als een website Proxied is, zijn er twee verbindingen: tussen de bezoeker en Cloudflare, en tussen Cloudflare en je VPS. De tweede wordt bepaald door de modus in Cloudflare, in het onderdeel SSL/TLS op de pagina Overview.
| Modus | Verbinding van Cloudflare naar de VPS | Advies |
|---|---|---|
| Off | Helemaal geen versleuteling. | Niet gebruiken. |
| Flexible | Onversleuteld HTTP. | Niet gebruiken: de gegevens gaan onversleuteld naar de VPS en er ontstaat een eindeloze doorverwijzing als de VPS doorverwijst naar HTTPS. |
| Full | HTTPS, maar het certificaat van de VPS wordt niet gecontroleerd. | Alleen tijdelijk, tot je op de VPS een geldig certificaat hebt ingesteld. |
| Full (strict) | HTTPS met controle op een geldig certificaat. | Aanbevolen. Op de VPS heb je een certificaat nodig, bijvoorbeeld van Let's Encrypt. |
| Strict (SSL-Only Origin Pull) | Altijd HTTPS met certificaatcontrole, ook als de bezoeker via HTTP binnenkwam. | Voor gevorderden. |
Cloudflare biedt ook een automatische keuze van de modus (Automatic SSL/TLS), die de veiligste modus kiest die je server aankan. Betrouwbaarder is het om Full (strict) handmatig in te stellen zodra je een certificaat op de VPS hebt.
Je eerste Let's Encrypt-certificaat achter Cloudflare
De betrouwbaarste werkwijze: laat het record eerst op DNS only staan, vraag op de VPS een certificaat aan (Certbot, handleiding Nginx en HTTPS), zet het record daarna op Proxied en de modus op Full (strict). De validatie van Let's Encrypt (HTTP-01) loopt altijd via poort 80, die moet daarom op de VPS open staan.
Firewall op de VPS#
Om de website te laten antwoorden, moeten op de VPS de poorten 80 en 443 (TCP) open staan:
- in de firewall in je klantaccount: Firewall in je klantaccount,
- in de firewall binnen de VPS, als je die gebruikt: UFW.
Controle#
Controleer waar het domein naartoe wijst:
bash dig +short example.cz A dig +short www.example.cz Adig +short– toont alleen de waarde van het record.example.cz A– de naam en het recordtype.
Bij DNS only zie je het IP-adres van de VPS. Bij Proxied zie je IP-adressen van Cloudflare, dat is in orde. Gebruik in Windows
nslookup example.cz.Controleer of de website antwoordt:
bash curl -I http://example.czcurl– haalt het antwoord van de webserver op.-I– alleen de headers van het antwoord, zonder de inhoud van de pagina.
Het antwoord begint met een statusregel, bijvoorbeeld
HTTP/1.1 200 OKof een doorverwijzing301. Bij een Proxied-record staat in de headersserver: cloudflare.Typ in Windows in PowerShell
curl.exe -I http://example.cz. Alleencurlis in Windows PowerShell een alias voor een ander commando (Invoke-WebRequest), en dat kent de optie-Iniet.Open het domein in de browser.
Ga voor de webserver en HTTPS verder met het artikel Website op een VPS: Nginx en Let's Encrypt, voor Minecraft op een eigen domein met het artikel Serveradres en domein.
Als iets niet werkt#
Cloudflare toont Error 521: Web server is down#
Cloudflare heeft de VPS bereikt, maar de VPS heeft de verbinding geweigerd. Op de VPS draait geen webserver, of die luistert niet op de juiste poort.
systemctl status nginx
ss -tlnp | grep -E ':(80|443) 'systemctl status nginx– laat zien of de dienst Nginx draait (active (running)).ss -tlnp– toont de luisterende poorten:-tTCP,-lalleen luisterende,-nnummers in plaats van namen,-phet programma dat de poort bezet houdt.grep -E ':(80|443) '– selecteert alleen de regels met de poorten 80 en 443.
Als Nginx niet draait, start het dan (systemctl start nginx) en zoek in de statusuitvoer naar de fout. Als het wel draait, controleer dan de firewall: de poorten 80 en 443 moeten ook voor de IP-adressen van Cloudflare zijn toegestaan.
Error 522: Connection timed out#
Cloudflare heeft de VPS helemaal niet bereikt. Meestal blokkeert de firewall het verkeer (poort 80/443 is niet toegestaan), staat er een verkeerd IP-adres in de DNS, of is de VPS uitgeschakeld of overbelast. Vergelijk het IP in het record met het tabblad Netwerk en controleer de firewallregels.
ERR_TOO_MANY_REDIRECTS (te veel doorverwijzingen)#
In Cloudflare staat de modus Flexible en de server verwijst HTTP door naar HTTPS. Cloudflare benadert de server via HTTP, de server stuurt het door naar HTTPS, en zo blijft het rondgaan. Stel de modus Full (strict) in (op de VPS moet een certificaat staan).
Error 526: Invalid SSL certificate#
De modus is Full (strict) en Cloudflare heeft het certificaat op de VPS niet geaccepteerd: het is verlopen, het is uitgegeven voor een andere naam, of het is zelfondertekend. Vraag een geldig certificaat aan voor precies dit domein (ook voor www, als je dat gebruikt), of zet het record tijdelijk op DNS only. De modus Full zou de fout verbergen, omdat die het certificaat niet controleert, maar de verbinding naar de VPS zou dan niet geverifieerd zijn.
Error 525: SSL handshake failed#
De modus is Full of Full (strict), maar op poort 443 van de VPS kon geen HTTPS-verbinding worden opgezet. Meestal is voor de website op poort 443 helemaal geen certificaat ingesteld (in Nginx ontbreekt het blok listen 443 ssl). Stel HTTPS in volgens de handleiding Nginx en HTTPS, of zet het record tijdelijk op DNS only.
De website werkt, maar SSH, Minecraft of SFTP via het domein niet#
Het record is Proxied. Maak voor deze diensten een apart subdomein met DNS only aan (bijvoorbeeld ssh.example.cz of mc.example.cz), of maak rechtstreeks verbinding met het IP-adres.
Certbot meldt een validatiefout achter Cloudflare#
Zet het record tijdelijk op DNS only, controleer of poort 80 open staat en vraag het certificaat opnieuw aan. Als je een AAAA-record hebt, controleer dan of de website ook op IPv6 antwoordt, of verwijder het AAAA-record tijdelijk.
Het domein toont nog steeds de parkeerpagina van de registrar#
Bij het domein staat nog een oud A-record, of de nameservers wijzen ergens anders naartoe dan waar je het record hebt aangepast. Loop het artikel DNS-records uitgelegd door en controleer de NS.
Samenvatting
- Stel voor een website een A-record
@in naar het IPv4-adres van de VPS, een CNAMEwwwnaar het domein en AAAA alleen met werkende IPv6. - Pas de records aan waar de nameservers van het domein naartoe wijzen.
- Zet in Cloudflare alleen de website op Proxied (oranje wolkje); laat SSH, games, mail en SFTP op DNS only staan.
- Gebruik de SSL-modus Full (strict) met een geldig certificaat op de VPS, nooit Flexible.
- Fout 521 betekent dat de VPS de verbinding heeft geweigerd, 522 dat Cloudflare de VPS niet heeft bereikt.
Meer bronnen#
- Cloudflare: Proxy status (opent in een nieuw venster)
- Cloudflare: Poorten die de proxy ondersteunt (opent in een nieuw venster)
- Cloudflare: SSL/TLS-modi (opent in een nieuw venster)
- Cloudflare: Een domein toevoegen (full setup) (opent in een nieuw venster)
- Let's Encrypt: validatietypen (opent in een nieuw venster)