Kontrolinis sąrašas Jūsų pačių domenui

8 modulis: Saugumas ir problemų sprendimas · Skaitymo trukmė: 10 min.

Mokymosi tikslas: Po šios pamokos galėsite patikrinti savo domeną nuo viršaus iki apačios pagal pastovų kontrolinį sąrašą ir žinosite, nuo kurio punkto pradėti, jei svetainė ar paštas neveikia.

Pagrindinės sąvokos: registracija, vardų serveriai, A/AAAA, www, sertifikatas, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, atsarginė kopija

Kodėl nuo viršaus iki apačios?

DNS yra grandinė: be registracijos nėra vardų serverių, be veikiančių vardų serverių nėra įrašų, be A įrašo nėra svetainės. Klaida viršuje sukelia įvairiausius nusiskundimus apačioje. Todėl sąrašą visada peržiūrėkite šia tvarka ir sustokite ties pirmu punktu, kuris neatitinka. Pirmiausia tai išspręskite, o tada pradėkite iš naujo nuo viršaus.

Sąraše nurodytas example.com: pakeiskite jį savo domenu. Prie kiekvieno punkto nurodyta dig komanda; galima naudoti ir internetinį dig įrankį (8.3 pamoka). Domeno būklės patikra, pavyzdžiui, Jūsų hostingo paslaugų teikėjo arba nemokamas įrankis Domeno būklė, didelę šio sąrašo dalį atlieka iš karto, tačiau naudinga žinoti, kas slypi už jo.

A dalis: pagrindas

1. Ar domenas užregistruotas ir aktyvus?

• Kaip: whois arba RDAP paieška (pavyzdžiui, per registro svetainę, tokią kaip sidn.nl, naudojamą .nl domenams), arba whois example.com.
• Gerai: statusas aktyvus (prie .nl: „active“), ne „karantine“, ne pasibaigęs. Valdytojas yra teisingas.

2. Kokius vardų serverius turi domenas ir ar jų bent du?

• Kaip: dig +short NS example.com, o tai, ką perduoda registras, patikrinkite su dig +trace example.com.
• Gerai: bent du vardų serveriai, priklausantys tai pačiai paslaugų teikėjo, kurioje tvarkote savo DNS.

3. Ar atsako visi vardų serveriai ir ar jie pateikia tą patį?

• Kaip: dig +short SOA example.com @<vardų serveris> kiekvienam vardų serveriui.
• Gerai: kiekvienas vardų serveris atsako (jokio laiko limito viršijimo, jokio REFUSED), o serijos numeris (trečias SOA laukas) visur sutampa. Vardų serveris, kuris neatsako apie Jūsų domeną, vadinamas lame.

4. Ar DNSSEC teisingas (jei įjungtas)?

• Kaip: dig +short DS example.com ir dig example.com A @1.1.1.1 (atkreipkite dėmesį į statusą ir vėliavėlę ad); jei kyla abejonių, naudokite DNSViz.
• Gerai: arba nėra DS (DNSSEC išjungtas, tai veikia normaliai), arba yra DS su statusu NOERROR ir vėliavėle ad. Blogai: SERVFAIL.

B dalis: svetainė

5. Ar domeno vardas nukreipia į tinkamą serverį?

• Kaip: dig +short A example.com ir dig +short AAAA example.com.
• Gerai: IPv4 adresas (ir, jei turite, IPv6 adresas) serverio, kuriame yra Jūsų svetainė. Jokio seno AAAA iš ankstesnio serverio.

6. Ar veikia www?

• Kaip: dig +short A www.example.com (arba CNAME).
• Gerai: A įrašas, AAAA įrašas arba CNAME, kuris veda į tą pačią svetainę. Jei trūksta www, žmonės, įvedantys www, gaus klaidos pranešimą.

7. Ar svetainė turi galiojantį sertifikatą abiem vardams?

• Kaip: atidarykite https://example.com ir https://www.example.com ir spustelėkite spynelės ikoną, arba naudokite internet.nl svetainės testą.
• Gerai: jokio įspėjimo, sertifikatas galioja dar bent kelias savaites ir galioja abiem vardams.

8. Ar Jūsų sertifikatų išdavėjui leidžiama kurti sertifikatus (CAA)?

• Kaip: dig +short CAA example.com.
• Gerai: nėra CAA įrašo (leidžiama visiems), arba CAA įrašas su issue tai paslaugų teikėjai, kuri išduoda Jūsų sertifikatą. Blogai: CAA, kuriame nenurodytas Jūsų išdavėjas.

C dalis: el. paštas

9. Kur ateina Jūsų paštas?

• Kaip: dig +short MX example.com, o tada dig +short A <pašto serveris> pirmam vardui.
• Gerai: dabartinio pašto paslaugų teikėjo MX įrašai, be likusio ankstesnio teikėjo MX įrašo. Kiekvienas pašto serverio vardas turi A arba AAAA įrašą. Jei nenaudojate domeno paštui, null MX (0 .) gali aiškiai parodyti, kad paštas neateina.

10. Ar yra tiksliai vienas tinkamas SPF įrašas?

• Kaip: dig +short TXT example.com ir pažiūrėkite į eilutes, prasidedančias v=spf1; el. pašto patikra suskaičiuoja paieškas.
• Gerai: tiksliai vienas SPF įrašas, apimantis visas paslaugas, siunčiančias paštą Jūsų domeno vardu, baigiantis ~all arba -all (niekada +all), ir ne daugiau kaip dešimt DNS paieškų.

11. Ar DKIM nustatytas kiekvienai paštą siunčiančiai paslaugai?

• Kaip: dig +short TXT <selektorius>._domainkey.example.com (arba CNAME) kiekvienam žinomam selektoriui, pavyzdžiui, Jūsų pašto paslaugų teikėjo ir naujienlaiškių siuntimo paslaugos. Selektorių rasite paslaugos instrukcijose arba išsiųsto laiško antraštėje DKIM-Signature: ... s=<selektorius>.
• Gerai: kiekvienas įrašas pateikia raktą (v=DKIM1; ... p=...) arba CNAME į paslaugą, o bandomasis laiškas rodo DKIM PASS.

12. Ar yra DMARC įrašas?

• Kaip: dig +short TXT _dmarc.example.com.
• Gerai: tiksliai vienas įrašas, prasidedantis v=DMARC1 ir turintis galiojančią politiką (p=none, p=quarantine arba p=reject). Jei pradėta nuo p=none, suplanuokite griežtinimą.

13. Ar tikras laiškas gerai pasiekia adresatą?

• Kaip: nusiųskite laišką į mail-tester.com arba į Gmail adresą ir peržiūrėkite „Rodyti originalą“.
• Gerai: SPF, DKIM ir DMARC rodo PASS.

D dalis: priežiūra

14. Ar TTL vertės protingos?

• Kaip: dig example.com A @<Jūsų vardų serveris> ir pažiūrėkite į TTL.
• Gerai: paprastai nuo 3600 iki 86400 (viena valanda iki vienos dienos). Tik ties planuojamu pakeitimu laikinai 300. Pamiršti vėl padidinti po perkėlimo nėra didelė bėda, bet sukelia nereikalingą srautą.

15. Ar turite savo zonos atsarginę kopiją?

• Kaip: atsarginės kopijos arba eksportavimo mygtukas Jūsų DNS valdymo skydelyje, arba dig kiekvienam įrašui, jei tokio mygtuko neturite.
• Gerai: naujausia visų įrašų kopija, saugoma už valdymo skydelio ribų.

16. Ar nėra pamirštų įrašų?

• Kaip: peržiūrėkite visus įrašus savo valdymo skydelyje.
• Gerai: nėra patvirtinimo įrašų ar subdomenų iš paslaugų, kurių nebenaudojate. CNAME, vedantis į atsisakytą paslaugą, gali būti „perimtas“ kito asmens (subdomeno perėmimas): pašalinkite jį.

Nuo ko pradėti gavus nusiskundimą?

Praktikoje: taip tai atrodo valdymo skydelyje

Domeno būklės patikra didelę šio sąrašo dalį atlieka automatiškai. Mano WebOké tai pateikiama domeno puslapyje kaip kortelė Domenas / El. pašto būklė, su žaliais, oranžiniais ir raudonais žymėjimais kiekvienam punktui; viešoji versija veikia bet kuriam domenui. Kitos hostingo paslaugų teikėjai, registratoriai ir DNS paslaugų teikėjai turi panašias patikras, o internet.nl nepriklausomai testuoja didelę B ir C dalių dalį. Naudokite tokią patikrą kaip pradžios tašką, o šį sąrašą, kad suprastumėte, kas pažymėta raudonai.

Santrauka

• Peržiūrėkite sąrašą nuo viršaus iki apačios ir sustokite ties pirmu netinkamu punktu.
• Pagrindas: registracija, vardų serveriai, vienodi atsakymai, DNSSEC.
• Svetainė: A/AAAA, www, sertifikatas, CAA.
• Paštas: MX su adresu, vienas SPF, DKIM kiekvienai paslaugai, vienas DMARC, bandomasis laiškas.
• Priežiūra: TTL, atsarginė kopija, tvarkymas.

Testas

Užduotis

Užduotis Z8.5: Baigiamoji užduotis: Jūsų pačių domenas. Patikrinkite savo domeną pagal šį kontrolinį sąrašą. Įveskite savo domeno vardą kurso aplinkoje ir prie kiekvieno A, B ir C dalies punkto atsakykite, ką radote (pavyzdžiui, savo vardų serverius, MX įrašą, SPF įrašą ir DMARC politiką). Programa atlieka tas pačias patikras ir palygina. Jei Jūsų domene kas nors neteisinga, gausite paaiškinimą su nuoroda į atitinkamą pamoką. Jei neturite savo domeno, naudokite sidn.nl.

Platesnis skaitymas

Šie straipsniai aprašo patikras, atliekamas WebOké; kontrolinis sąrašas tinka bet kuriam domenui.

• WebOké vadovas 5.17: Domeno ir el. pašto būklė: tikrinimas ir sutvarkymas
• Svetainė arba el. paštas neveikia po perkėlimo ar DNS įrašų pakeitimo: patikrinkite savo domeną
• WebOké vadovas 5.7: DNS atkūrimas ir DNS atsarginės kopijos sukūrimas
• DNS atsarginės kopijos kūrimas ir atkūrimas
• Nemokamas įrankis Domeno būklė: https://www.weboke.lt/domeno-bukle
• Nemokama El. pašto patikra: https://www.weboke.lt/el-pasto-patikra