Konfigurieren von selbst gehostetem DNS für benutzerdefinierte Domänen, die über einen Proxy weitergeleitet werden

Benutzerdefinierte Domänen, die von Marketing Cloud Engagement gehostet werden, werden standardmäßig direkt an Engagement-Server weitergeleitet und Salesforce verwaltet die Sicherheit für diese Domänen. Wenn für Ihre Sicherheitsrichtlinie eine Proxy- oder Web Application Firewall (WAF) für alle Ihre Domänen erforderlich ist, hosten Sie das DNS selbst und verweisen Sie mit dem Proxy auf den domänenspezifischen Endpunkt (DSE), damit Salesforce SSL-Zertifikate für die Domäne bereitstellen und verlängern kann.

Hinweis Wenn Sie einen Proxy oder eine Web Application Firewall (WAF) für alle Ihre Domänen konfiguriert haben, machen Sie eine Ausnahme für benutzerdefinierte Domänen, die auf Engagement-Servern gehostet werden, damit ihr Datenverkehr Engagement direkt erreicht. Salesforce verwaltet die Sicherheit für diese Domänen in Ihrem Namen, einschließlich der Bereitstellung und Verlängerung von SSL-Zertifikaten.

Informationen zum Self-Host des DNS finden Sie unter DNS-Datensatzwartung für Ihre benutzerdefinierte Marketing Cloud Engagement-Domäne und den E-Mail-Versand. Informationen zum Delegieren von DNS finden Sie unter Delegation benutzerdefinierter Unterdomänen.

Wenn Ihre Sicherheitsrichtlinie die Umgehung Ihrer WAF nicht zulässt oder Sie aus anderen Gründen einen Proxy verwenden müssen, sollten Sie die folgenden Einschränkungen beachten:

• DNS kann nicht an Salesforce delegiert werden. Daher müssen Sie DNS selbst hosten.
• Für die durchgängige Konnektivität und Sicherheit gibt es zwei separate Verbindungen zu verwalten:
  • Die Client-zu-Proxy-Verbindung: Von einem Client oder Browser zu Ihrem Proxy
  • Die Proxy-zu-Ursprung-Verbindung: Von Ihrem Proxy zum Engagement-Server
• Der Proxy muss an das DSE weitergeleitet werden, damit die Proxy-zu-Ursprung-Verbindung gesichert und das SSL-Zertifikat verlängert werden kann. Das Proxy-Setup kann weiterhin dazu führen, dass die Installation und Verlängerung des benutzeroberflächenbasierten SSL-Zertifikats fehlschlägt.
• Wenn Sie ein von Salesforce bereitgestelltes SSL-Zertifikat für die Proxy-zu-Ursprung-Verbindung verwenden, darf der Proxy die Zertifizierungsstellen DigiCert oder Amazon Certificate Manager (CAs) nicht daran hindern, die Token-basierte Domänenkontrollvalidierung (DCV) mithilfe der Engagement-Dateifreigabe durchzuführen.
• Reihenfolge der Vorgänge: Der Proxy darf nicht erfordern, dass die Proxy-zu-Ursprung-Verbindung gesichert ist, bevor die Client-zu-Proxy-Verbindung gesichert ist und der Datenverkehr durchgängig weitergeleitet wird. Mit dieser Reihenfolge kann Salesforce automatisch überprüfen, ob der Datenverkehr den Engagement-Server erreicht, und die Proxy-zu-Ursprung-Verbindung sichern, wenn die benutzerdefinierte Domäne erstmals konfiguriert oder später auf der Engagement-Benutzeroberfläche geschützt wird. Schützen Sie zunächst die Client-zu-Proxy-Verbindung mit einem SSL-Zertifikat auf dem Proxy und stellen Sie sicher, dass der Datenverkehr an den Engagement-Server weitergeleitet wird.

1. Konfigurieren Sie den Proxy so, dass er für die durchgängige Konnektivität auf den DSE in der Proxy-zu-Ursprung-Verbindung verweist.
   1. Geben Sie unter "Setup" im Feld "Schnellsuche" den Text ssl ein und wählen Sie dann Domain SSL Certificates (SSL-Zertifikate für Domänen) aus.
   2. Wählen Sie im Dropdown-Menü für Aktionen in der Zeile Ihrer Domäne die Option Self-Hosted DNS Settings anzeigen aus, um nach dem Datenverarbeitungsmodul für Ihre Domäne zu suchen.
   3. Zeigen Sie mit dem CNAME-Datensatz auf den domänenspezifischen Endpunkt (DSE) für Ihre benutzerdefinierte Domäne.
      Auch wenn ein richtig konfigurierter Datensatz vom Typ "Ein" keinen DNS-Statusfehler meldet, wird dringend empfohlen, stattdessen einen CNAME-Datensatz zu verwenden, der auf das DSE verweist. Durch die Weiterleitung an die DSE-Adresse anstelle der IP-Adresse des Engagement-Servers können eine zuverlässige SSL-Zertifikatbereitstellung und -verlängerungen für die durchgängige Sicherheit sowie eine durchgängige Konnektivität gewährleistet werden. Salesforce kann dann den Hosting-Server aktualisieren, ohne dass Sie Ihren DNS ändern müssen.
2. Installieren Sie für die durchgängige Sicherheit ein SSL-Zertifikat auf dem Proxy. Wählen Sie zum Schützen der Client-zu-Proxy-Verbindung und Anzeigen von HTTPS auf den Clients und Browsern Ihrer Kunden, wenn sie Ihre benutzerdefinierte Domäne erreichen, in der Zeile der Domäne Diese Domäne sichern für die Installation aus.
   1. Installieren Sie ein SSL-Zertifikat auf dem Proxy, um die Client-zu-Proxy-Verbindung zu schützen und HTTPS auf den Clients und Browsern Ihrer Kunden anzuzeigen, wenn Sie Ihre benutzerdefinierte Domäne erreichen.
   2. Wählen Sie zum Schützen Ihrer benutzerdefinierten Domäne im Dropdown-Menü für Aktionen in der Zeile Ihrer Domäne die Option Diese Domäne schützen aus.
      Stellen Sie sicher, dass der Proxy HTTPS für die Proxy-zu-Ursprung-Verbindung versucht.