Aby web, panel alebo iná služba na VPS fungovala pod vašou doménou, musí doména ukazovať na IP adresu VPS. Ukážeme, aké záznamy vytvoriť u bežného DNS hostingu aj v Cloudflare, kedy zapnúť proxy Cloudflare a kedy nie, a ako opraviť typické chyby.
Čo budete potrebovať
- VPS u StormHostu a jeho IP adresy zo záložky Sieť
- Doménu a prístup k správe jej DNS záznamov
- Základy DNS (DNS záznamy zrozumiteľne)
- Približne 15 minút (plus čakanie na DNS)
Čo nastavíte#
V zákazníckom účte otvorte Moje služby, kliknite na VPS a v záložke Sieť si skopírujte IPv4 adresa (napríklad 203.0.113.10) a IPv6 adresa (napríklad 2001:db8::10).
| Názov | Typ | Hodnota | Na čo |
|---|---|---|---|
@ | A | 203.0.113.10 | Koreň domény example.cz vedie na VPS. |
@ | AAAA | 2001:db8::10 | To isté pre IPv6. Iba ak služba na VPS počúva aj na IPv6. |
www | CNAME | example.cz | www.example.cz vedie tam, kam koreň. |
panel (príklad) | A | 203.0.113.10 | Ďalšia služba na subdoméne, napríklad panel alebo aplikácia. |
Za example.cz dosaďte svoju doménu a za IP adresy tie zo záložky Sieť. Ak chcete, aby www viedlo inam než koreň, použite namiesto CNAME vlastný A záznam.
AAAA iba s funkčnou IPv6
Zariadenia s IPv6 (typicky mobilné dáta) skúšajú AAAA záznam ako prvý. Keď na IPv6 adrese web nepočúva, budú mať problém, aj keď cez IPv4 všetko funguje. Rovnako aj Let's Encrypt pri overovaní domény uprednostňuje IPv6. AAAA pridajte, až keď overíte, že služba na IPv6 odpovedá (pri Nginx direktíva listen [::]:80;).
Vytvorenie záznamov#
Najprv zistite, kde DNS vašej domény beží: buď u registrátora, alebo inde (napríklad v Cloudflare). Zistíte to príkazom nslookup -type=NS example.cz (Windows) alebo dig +short example.cz NS (macOS, Linux). Záznamy upravujte tam, kam nameservery mieria.
Cloudflare
Ak doménu v Cloudflare ešte nemáte, najprv ju pridajte podľa ďalšej časti „Pridanie domény do Cloudflare“.
- Prihláste sa do Cloudflare, otvorte doménu a v ľavom menu prejdite na DNS › Records.
- Zmažte staré A a AAAA záznamy pre
@awww, ktoré vedú inam (napríklad na parkovaciu stránku registrátora). - Kliknite na Add record.
- Ako Type zvoľte
A, do Name napíšte@(znamená koreň domény) a ako obsah zadajte IPv4 adresu VPS. - Nastavte Proxy status podľa tabuľky v časti „DNS only, alebo Proxied?“ (pre web zvyčajne Proxied, pre všetko ostatné DNS only).
- Uložte tlačidlom Save.
- Rovnako pridajte záznam typu
CNAMEs Namewwwa cieľomexample.cz, prípadne AAAA záznam s IPv6 adresou.
Iný DNS hosting
Rozhranie sa u každého poskytovateľa volá trochu inak (DNS záznamy, Zóna, DNS records), princíp je rovnaký:
- Prihláste sa k poskytovateľovi, kam mieria nameservery domény.
- Otvorte správu DNS záznamov domény.
- Zmažte alebo upravte staré A a AAAA záznamy pre koreň a
www, ktoré vedú inam. - Pridajte A záznam: názov
@(alebo prázdny, podľa rozhrania), hodnota IPv4 adresa VPS. - Voliteľne pridajte AAAA záznam s IPv6 adresou VPS.
- Pridajte CNAME: názov
www, hodnotaexample.cz(niektoré rozhrania chcúexample.cz.s bodkou). - TTL nastavte na
300, kým všetko ladíte, neskôr môžete na3600. - Uložte zmeny.
Nové záznamy sú zvyčajne vidieť do pár minút. Zmena existujúceho záznamu sa prejaví až po vypršaní jeho starého TTL.
Pridanie domény do Cloudflare#
Tento krok robíte iba raz, ak chcete DNS spravovať v Cloudflare. Cloudflare rozhranie občas mení, názvy nižšie zodpovedajú jeho dokumentácii k 1. 10. 2026.
- V Cloudflare otvorte Domains a kliknite na Onboard a domain.
- Zadajte koreňovú doménu (
example.cz, bezwww) a pokračujte. - Vyberte tarif. Na nasmerovanie domény stačí bezplatný.
- Skontrolujte záznamy, ktoré Cloudflare našiel. Doplňte chýbajúce (hlavne e-mailové MX a TXT, ak doménu používate na poštu) a zmažte nesprávne.
- Ak má doména u registrátora zapnuté DNSSEC, vypnite ho u registrátora pred zmenou nameserverov. Inak doména po zmene prestane fungovať.
- U registrátora nahraďte existujúce nameservery dvoma nameservermi, ktoré vám Cloudflare pridelil. Odpíšte ich presne.
- Počkajte, kým Cloudflare ukáže stav Active (býva to do 24 hodín, príde aj e-mail).
- Voliteľne potom zapnite DNSSEC znova, tentoraz cez Cloudflare.
Nezabudnite na e-mail
Po zmene nameserverov platia iba záznamy v Cloudflare. Ak doménu používate na e-mail a MX alebo TXT záznamy do Cloudflare neprenesiete, pošta na doménu prestane chodiť. Pred zmenou NS si odpíšte všetky záznamy z pôvodnej správy DNS.
DNS only, alebo Proxied?#
Každý A, AAAA a CNAME záznam v Cloudflare má Proxy status:
- Proxied (oranžový obláčik): návštevníci sa pripájajú k serverom Cloudflare a ten prevádzku preposiela na VPS. Cloudflare pridáva ochranu a medzipamäť a skrýva IP adresu VPS. Funguje iba pre web (HTTP a HTTPS) na podporovaných portoch: HTTP 80, 8080, 8880, 2052, 2082, 2086, 2095 a HTTPS 443, 2053, 2083, 2087, 2096, 8443.
- DNS only (sivý obláčik): Cloudflare iba odpovedá IP adresou VPS a do prevádzky nijako nezasahuje. Funguje pre všetko.
Záznamy Proxied majú vždy TTL Auto (300 sekúnd) a je možné ich nastaviť iba pri typoch A, AAAA a CNAME.
| Služba na VPS | Proxy status | Prečo |
|---|---|---|
| Web (Nginx, WordPress) na portoch 80/443 | Proxied (môže byť aj DNS only) | Ochrana a medzipamäť. Vyžaduje SSL režim Full (strict), pozri nižšie. |
| Webové rozhranie herného panela na vlastnom VPS (443) | Proxied alebo DNS only | Je to web; za proxy však musí aplikácia dôverovať IP adresám Cloudflare (podrobne v návode k panelu). |
| Démon herného panela na node (typicky porty 8080 a SFTP 2022) | DNS only | Komunikácia nodu a SFTP cez proxy nefungujú správne (návod k nodu). |
| SSH (22) | DNS only | Proxy preposiela iba web. |
| Minecraft, FiveM, Rust a iné hry | DNS only | Herné protokoly (TCP aj UDP) proxy neprenesie. |
Poštový server (mail.example.cz) | DNS only | Poštu proxy neprenesie a cieľ MX musí ukazovať priamo na server. |
| SFTP, databázy, vlastné porty aplikácií | DNS only | Nejde o webovú prevádzku. |
Skrytie IP adresy funguje iba napoly
Záznam Proxied skryje IP adresu VPS, ale iba kým ju neprezradí iný záznam. Ak máte mc.example.cz ako DNS only na rovnakú IP, ktokoľvek ju zistí. Pri herných serveroch sa tomu vyhnúť nedá, hráči IP potrebujú.
SSL/TLS režim v Cloudflare#
Keď je web Proxied, existujú dve spojenia: medzi návštevníkom a Cloudflare a medzi Cloudflare a vaším VPS. Druhé určuje režim v Cloudflare v sekcii SSL/TLS na stránke Overview.
| Režim | Spojenie z Cloudflare na VPS | Odporúčanie |
|---|---|---|
| Off | Bez šifrovania vôbec. | Nepoužívať. |
| Flexible | Nešifrované HTTP. | Nepoužívať: dáta k VPS idú nešifrovane a vzniká nekonečné presmerovanie, keď VPS presmerúva na HTTPS. |
| Full | HTTPS, ale certifikát VPS sa nekontroluje. | Iba dočasne, kým na VPS nastavíte platný certifikát. |
| Full (strict) | HTTPS s kontrolou platného certifikátu. | Odporúčané. Na VPS potrebujete certifikát napríklad od Let's Encrypt. |
| Strict (SSL-Only Origin Pull) | Vždy HTTPS s kontrolou certifikátu, aj keď návštevník prišiel cez HTTP. | Pre pokročilých. |
Cloudflare ponúka aj automatický výber režimu (Automatic SSL/TLS), ktorý zvolí najbezpečnejší režim, aký váš server zvládne. Spoľahlivejšie je nastaviť Full (strict) ručne, hneď ako máte na VPS certifikát.
Prvý certifikát Let's Encrypt za Cloudflare
Najspoľahlivejší postup: nechajte záznam najprv ako DNS only, na VPS získajte certifikát (Certbot, návod Nginx a HTTPS), potom záznam prepnite na Proxied a režim na Full (strict). Overenie Let's Encrypt (HTTP-01) prebieha vždy cez port 80, ten preto musí byť na VPS otvorený.
Firewall na VPS#
Aby web odpovedal, musia byť na VPS otvorené porty 80 a 443 (TCP):
- vo firewalle v zákazníckom účte: Firewall v zákazníckom účte,
- vo firewalle vnútri VPS, ak ho používate: UFW.
Overenie#
Skontrolujte, kam doména vedie:
bash dig +short example.cz A dig +short www.example.cz Adig +short– vypíše iba hodnotu záznamu.example.cz A– meno a typ záznamu.
Pri DNS only uvidíte IP adresu VPS. Pri Proxied uvidíte IP adresy Cloudflare, to je v poriadku. Vo Windows použite
nslookup example.cz.Skontrolujte, že web odpovedá:
bash curl -I http://example.czcurl– stiahne odpoveď webového servera.-I– iba hlavičky odpovede, bez obsahu stránky.
Odpoveď začína stavovým riadkom, napríklad
HTTP/1.1 200 OKalebo presmerovaním301. Pri zázname Proxied je v hlavičkáchserver: cloudflare.Vo Windows napíšte v PowerShelli
curl.exe -I http://example.cz. Samotnécurlje vo Windows PowerShelli skratka pre iný príkaz (Invoke-WebRequest) a prepínač-Inepozná.Otvorte doménu v prehliadači.
Pre webový server a HTTPS pokračujte článkom Web na VPS: Nginx a Let's Encrypt, pre Minecraft na vlastnej doméne článkom Adresa servera a doména.
Keď niečo nefunguje#
Cloudflare ukazuje Error 521: Web server is down#
Cloudflare sa k VPS dostal, ale VPS spojenie odmietol. Na VPS nebeží webový server, alebo nepočúva na správnom porte.
systemctl status nginx
ss -tlnp | grep -E ':(80|443) 'systemctl status nginx– ukáže, či služba Nginx beží (active (running)).ss -tlnp– vypíše počúvajúce porty:-tTCP,-liba počúvajúce,-nčísla namiesto názvov,-pprogram, ktorý port drží.grep -E ':(80|443) '– vyberie iba riadky s portami 80 a 443.
Ak Nginx nebeží, spustite ho (systemctl start nginx) a pozrite sa do výpisu stavu na chybu. Ak beží, skontrolujte firewall: porty 80 a 443 musia byť povolené aj pre IP adresy Cloudflare.
Error 522: Connection timed out#
Cloudflare sa k VPS vôbec nedostal. Najčastejšie firewall zahadzuje prevádzku (port 80/443 nie je povolený), v DNS je nesprávna IP adresa, alebo je VPS vypnutý či preťažený. Skontrolujte IP v zázname oproti záložke Sieť a pravidlá firewallu.
ERR_TOO_MANY_REDIRECTS (príliš veľa presmerovaní)#
V Cloudflare je režim Flexible a server presmerúva HTTP na HTTPS. Cloudflare k serveru chodí cez HTTP, server ho pošle na HTTPS, a tak stále dokola. Nastavte režim Full (strict) (na VPS musí byť certifikát).
Error 526: Invalid SSL certificate#
Režim je Full (strict) a certifikát na VPS Cloudflare neuznal: vypršal, je vystavený na iné meno, alebo je self-signed. Získajte platný certifikát presne pre túto doménu (aj pre www, ak ho používate), alebo dočasne prepnite záznam na DNS only. Režim Full by chybu skryl, pretože certifikát nekontroluje, ale spojenie k VPS by potom nebolo overené.
Error 525: SSL handshake failed#
Režim je Full alebo Full (strict), ale na porte 443 VPS sa nepodarilo nadviazať HTTPS spojenie. Najčastejšie web na porte 443 vôbec nemá nastavený certifikát (v Nginx chýba blok listen 443 ssl). Nastavte HTTPS podľa návodu Nginx a HTTPS, alebo dočasne prepnite záznam na DNS only.
Web funguje, ale SSH, Minecraft alebo SFTP cez doménu nie#
Záznam je Proxied. Pre tieto služby vytvorte samostatnú subdoménu s DNS only (napríklad ssh.example.cz alebo mc.example.cz), alebo sa pripájajte priamo na IP adresu.
Certbot hlási chybu overenia za Cloudflare#
Prepnite záznam dočasne na DNS only, skontrolujte, že port 80 je otvorený, a certifikát vydajte znova. Ak máte AAAA záznam, overte, že web odpovedá aj na IPv6, alebo AAAA dočasne zmažte.
Doména stále ukazuje parkovaciu stránku registrátora#
Pri doméne zostal starý A záznam alebo nameservery mieria inam, než kde ste záznam upravili. Prejdite článok DNS záznamy zrozumiteľne a skontrolujte NS.
Zhrnutie
- Pre web nastavte A záznam
@na IPv4 VPS, CNAMEwwwna doménu a AAAA iba s funkčnou IPv6. - Záznamy upravujte tam, kam mieria nameservery domény.
- V Cloudflare dávajte Proxied (oranžový obláčik) iba webu; SSH, hry, poštu a SFTP nechajte ako DNS only.
- Používajte SSL režim Full (strict) s platným certifikátom na VPS, Flexible nikdy.
- Chyba 521 znamená, že VPS spojenie odmietol, 522 že sa k nemu Cloudflare nedostal.