Atvirkštinis DNS (reverse DNS) ir Jūsų siunčiantis serveris

5 modulis: Reputacija ir didieji gavėjai · Skaitymo trukmė: 9 min.

Mokymosi tikslas: Po šios pamokos galėsite paaiškinti, kodėl Jūsų paštą siunčiančio serverio IP adresas turi turėti tvarkingą atvirkštinį DNS, nustatyti, kuris serveris tai yra Jūsų atveju, ir patikrinti, ar pirmyn ir atgal nukreipiantys įrašai sutampa.

Pagrindinės sąvokos: siunčiantis serveris, PTR įrašas, forward-confirmed reverse DNS (FCrDNS), HELO/EHLO vardas, bendrinis (generic) vardas, bendrinis prieglobos planas, nuosavas serveris (VPS), IP bloko savininkas

Kuris serveris iš tikrųjų siunčia Jūsų paštą?

4 modulyje kalbėjome apie Jūsų domeną: SPF, DKIM ir DMARC įrašus, kurie yra domeno example.com DNS zonoje. Šiame modulyje žvelgiame į kai ką kita: serverį, kuris pristato Jūsų laišką gavėjui. Tas serveris turi IP adresą, ir gavėjai vertina tą adresą atskirai nuo Jūsų domeno.

Kuris tai serveris, priklauso nuo to, kaip siunčiate paštą:

Siunčiančio serverio IP adresą rasite kopregelėse laiško, kurį išsiuntėte sau arba kitu adresu (1.5 pamoka). Pažiūrėkite į viršutinę Received: eilutę, kurią pridėjo priimantysis serveris. Joje bus kažkas panašaus į:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

Adresas laužtiniuose skliaustuose, 192.0.2.25, yra IP adresas, kuriuo prisijungė siunčiantis serveris. Vardas prieš jį (smtp.hosting.example) yra vardas, kurį gavėjas rado prie to adreso per atvirkštinį DNS.

Atvirkštinis DNS trumpai

Atvirkštinis DNS susieja IP adresą su vardu per PTR įrašą. Pagrindus išmokote DNS kurse (4.6 pamoka): šis įrašas yra ne Jūsų domeno zonoje, o IP adreso atvirkštinėje (reverse) zonoje, kurią valdo IP bloką administruojanti šalis.

El. paštui svarbūs trys dalykai:

1. Yra PTR įrašas. IP adresas be atvirkštinio DNS atrodo kaip atsitiktinė mašina internete. Gmail atmeta tokį paštą su pranešimu 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Vardas nukreipia atgal į tą patį adresą. IP adresas 192.0.2.25 turi PTR smtp.hosting.example, o smtp.hosting.example turi A įrašą 192.0.2.25. Tai vadinama forward-confirmed reverse DNS (FCrDNS). Gmail, Yahoo ir T-Online aiškiai mini šį reikalavimą.
3. Vardas atrodo kaip pašto serverio vardas. Vardas, pavyzdžiui, 192-0-2-25.dsl.provider.example arba host25.dynamic.provider.example, išduoda namų ar kliento prisijungimą. Šlamšto filtrai už tai skiria baudos taškus arba iš karto atmeta ryšį.

IPv6 atveju galioja tas pats. Jei serveris siunčia per IPv6, tai ir IPv6 adresas turi turėti PTR įrašą ir nukreipti atgal su AAAA įrašu. Serveris, kuris tvarkingas per IPv4, bet ne per IPv6, susiduria su problemomis ypač Gmail atveju: Google nurodo trūkstamą IPv6 PTR kaip priežastį klaidai „IPv6 authorization error“.

HELO vardas

Kai serveris prisijungia, jis prisistato naudodamas EHLO (arba senesnį HELO) komandą ir vardą (1.2 pamoka). RFC 5321 nurodo, kad tai turėtų būti pilnas serverio vardas. Praktikoje gavėjai patikrina, ar tas vardas:

• yra tikras, egzistuojantis vardas (ne localhost, ne gryni IP adresai, ne vardas, kurio nėra DNS);
• atitinka atvirkštinį DNS arba bent priklauso tam pačiam domenui.

Bendrinio prieglobos paketo ar pašto paslaugos atveju tuo pasirūpina administratorius. Jei patys administruojate pašto serverį, HELO vardą nustatote savo pašto programinėje įrangoje (Postfix tai vadinama myhostname) ir pasirūpinate, kad tas vardas, PTR ir A įrašas sutaptų.

Bendrinis prieglobos planas: PTR nebūtinai turi būti Jūsų domenas

Dažnai užduodamas klausimas: „Ar atvirkštinis DNS neturėtų būti mail.example.com, nes tai mano domenas?“ Ne. Bendrinio prieglobos ir didelių pašto paslaugų atveju vienas serveris siunčia paštą šimtams ar tūkstančiams domenų. IP adresas gali turėti tik vieną PTR įrašą, ir jame yra paties serverio vardas, pavyzdžiui, server12.hosting.example.

Taip ir turi būti. Gavėjai tikrina, ar PTR egzistuoja, ar jis nukreipia atgal ir ar nėra bendrinis (generic). Jie netikrina, ar jame yra Jūsų paties domeno vardas. Ryšį tarp Jūsų domeno ir serverio sukuriate per SPF (serveris nurodytas Jūsų SPF įraše) ir DKIM (serveris pasirašo laiškus Jūsų domeno vardu).

WebOké atveju tai sutvarkyta štai taip: prieglobos paketo serveriai turi atvirkštinį DNS su paties serverio vardu, domeno webawere.nl poaibyje, kuris taip pat nukreipia atgal. Kitų prieglobos paslaugų teikėjų ir pašto paslaugų atveju tai veikia panašiai, su jų pačių serverių vardais.

Nuosavas serveris: ką turite sutvarkyti patys?

Jei siunčiate paštą tiesiogiai iš nuosavo serverio, pavyzdžiui, VPS su el. parduotuve ar nuosavo pašto serverio, tuomet patys esate siuntėjas ir turite sutvarkyti daugiau dalykų:

1. Pasirinkite vardą, pavyzdžiui, mail.example.com.
2. Sukurkite A įrašą (ir AAAA įrašą) tam vardui, nukreipiantį į serverio IP adresą, Jūsų domeno DNS zonoje.
3. Užsisakykite PTR pas serverio paslaugų teikėją. Dažniausiai kliento valdymo skydelyje yra laukelis „Reverse DNS“ arba „rDNS“. Ten įveskite tą patį vardą.
4. Nustatykite HELO vardą savo pašto programinėje įrangoje į tą patį vardą.
5. Įtraukite IP adresą į savo SPF įrašą (ip4: ir ip6:) ir įjunkite DKIM savo pašto programinėje įrangoje.
6. Patikrinkite, ar atviras išeinantis 25 prievadas. Daugelis paslaugų teikėjų jį pagal nutylėjimą uždaro, kad išvengtų piktnaudžiavimo; tokiu atveju turite paprašyti jį atidaryti arba siųsti per paslaugų teikėjo perdavimo serverį (relay) ar siuntimo paslaugą.

Pašto serveris paprastoje namų ar biuro interneto jungtyje beveik visada yra bloga idėja. Tokie adresai dažnai patenka į „galutinių vartotojų adresų“ sąrašus (pavyzdžiui, Spamhaus Policy Block List, 5.2 pamoka), PTR dažniausiai negalite pasirinkti patys, o T-Online tiesiogiai nurodo, kad tokios sistemos turi siųsti per tinkamo paslaugų teikėjo perdavimo serverį (relay).

Tikrinimas

Naudojant komandinę eilutę (DNS kurso 8.2 pamoka):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Jei antrasis užklausimas grąžina tą patį adresą, FCrDNS sutampa. IPv6 atveju darote tą patį su dig -x 2001:db8::25 ir dig AAAA.

Taip pat galite pažiūrėti, ką matė gavėjas. Kopregelėse priimantysis serveris įrašo rastą vardą skliaustuose po from. Jei ten parašyta unknown, jis nerado PTR. Kai kurie serveriai taip pat prideda savo patikrą, pavyzdžiui, iprev=pass eilutėje Authentication-Results: (RFC 8601).

Santrauka

• Siunčiantis serveris yra serveris, kuris pristato Jūsų paštą gavėjui. Gavėjai vertina jo IP adresą atskirai nuo Jūsų domeno.
• Tam IP adresui reikia PTR, kuris nukreipia atgal į tą patį adresą (FCrDNS), tiek IPv4, tiek IPv6 atveju, su vardu, kuris nėra bendrinis (generic).
• HELO vardas turėtų būti egzistuojantis vardas, atitinkantis PTR.
• Bendrinio prieglobos ir pašto paslaugų atveju PTR įraše yra serverio vardas, o ne Jūsų domenas. Taip ir turi būti.
• Su nuosavu serveriu patys sutvarkote vardą, A/AAAA, PTR (per paslaugų teikėją), HELO, SPF ir DKIM.

Testas

Užduotis

Užduotis Z5.1: Jūsų domeno siunčiantis serveris. Išsiųskite laišką iš savo paties adreso į kitą savo adresą (pavyzdžiui, Gmail arba Outlook.com adresą) ir atidarykite kopregeles. Suraskite IP adresą serverio, kuris pristatė laišką, to adreso PTR vardą, ir nurodykite, ar vardas nukreipia atgal į tą patį adresą (taip/ne). Jei neturite nuosavo domeno, naudokite pašto serverio mx00.t-online.de IP adresą. Programa gyvai užklausia PTR ir A/AAAA įrašus ir palygina juos.

Skaitykite daugiau

Šiuose straipsniuose aprašyti žingsniai galioja WebOké valdymo skydeliams; kitų paslaugų teikėjų atveju veikimas yra panašus.

• El. laiškų siuntimas iš Jūsų VPS ir reverse DNS nustatymas
• Nemokamas DNS kursas 4.6: Reverse DNS (PTR): nuo numerio atgal prie vardo
• Kaip siunčiami el. laiškai (SMTP)
• RFC 5321 (SMTP), 4.1.1.1 skirsnis apie EHLO vardą; RFC 8601 apie kopregelę Authentication-Results