Perėjimas DNS lygmeniu: MX, SPF, DKIM ir DMARC

4 modulis: El. pašto perkėlimas · Skaitymo trukmė: 12 min.

Mokymosi tikslas: Po šios pamokos galėsite teisinga tvarka suplanuoti ir atlikti DNS pakeitimus el. paštui taip, kad joks laiškas neprapultų, Jūsų siunčiami laiškai nepatektų į šlamštą, o Outlook nebandytų slapta prisijungti prie senojo tiekėjo.

Pagrindinės sąvokos: TTL, MX pakeitimas, SPF (vienas įrašas), DKIM selektorius, DMARC (p=none, rua), autodiscover, autoconfig, patvirtinimo įrašas, priimtasis domenas

Penki įrašai, vienas momentas

El. paštui, veikiančiam Jūsų pačių domene, DNS yra keletas įrašų, kurie kartu nulemia, ar laiškai pasiekia adresatą ir ar Jūsų paštu pasitikima:

Perkeliant paslaugą keičiasi beveik viskas iš šio sąrašo. Visa esmė, tvarka. Jei pakeisite MX, kol SPF ir DKIM vis dar galioja tik „Microsoft“, laiškai pasieks Jus, tačiau Jūsų siunčiami laiškai pateks į šlamštą. Jei pirmiausia pakeisite SPF, prieš tai einančiomis dienomis „Microsoft“ nebegalės tinkamai siųsti laiškų Jūsų vardu.

Ši pamoka skirta tvarkai. Kaip tiksliai veikia kiekvienas įrašas, skaitykite DNS kurse (4.1-4.5 pamokos).

1 žingsnis, dvi dienos iš anksto: sumažinkite TTL ir padarykite atsarginę kopiją

Kiekvienas DNS įrašas turi TTL (time to live) reikšmę: kiek laiko kiti serveriai gali prisiminti atsakymą. Jei Jūsų MX TTL yra 86400 sekundžių (viena diena), kai kurie serveriai po pakeitimo dar iki vienos dienos gali siųsti laiškus senajam serveriui.

Todėl iš anksto, likus bent vienai senajai TTL trukmei, sumažinkite MX, SPF ir autodiscover TTL iki 300 arba 3600 sekundžių. Jei TTL yra viena diena, tai darykite bent viena diena iš anksto; dvi dienos yra pakankamai saugu. Tuo pat metu padarykite Jūsų DNS zonos atsarginę kopiją arba užsirašykite visus esamus įrašus. Taip visada galėsite grįžti atgal.

Bakkerij De Korrel mato:

example.com.            3600  IN  MX   0 example-com.mail.protection.outlook.com.
example.com.            3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey    3600  IN  CNAME selector1-example-com._domainkey.korrel.onmicrosoft.com.
selector2._domainkey    3600  IN  CNAME selector2-example-com._domainkey.korrel.onmicrosoft.com.
_dmarc.example.com.     3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
autodiscover            3600  IN  CNAME autodiscover.outlook.com.
example.com.            3600  IN  TXT  "MS=ms12345678"

TTL jau yra 3600 (viena valanda). MX ir SPF jie nustato į 300.

2 žingsnis, prieš pakeitimą: paruoškite naujojo tiekėjo DKIM ir SPF

Įrašus, kurie nieko nesugadina, galite įkelti jau iš anksto:

• Naujojo tiekėjo DKIM. Naujasis tiekėjas pateikia selektorių ir raktą, pavyzdžiui, x._domainkey su TXT įrašu v=DKIM1; k=rsa; p=.... Kadangi selektorius vadinasi kitaip nei „Microsoft“ (selector1 ir selector2), jie ramiai veikia vienas šalia kito. Kiekvienas gavėjas žiūri tik į tą selektorių, kuris nurodytas laiško parašu.
• Išplėskite SPF, o ne pakeiskite. Gali būti tik vienas SPF įrašas. Naująjį tiekėją įtraukite į tą patį įrašą, kad pereinamuoju laikotarpiu laiškus galėtų siųsti abu:

"v=spf1 include:spf.protection.outlook.com include:spf.mailaanbieder.example ~all"

Kepyklėlė turėjo -all. Perėjimo metu jie laikinai pasirenka ~all (softfail): jei vis dėlto trūksta kokio nors serverio, laiškas greičiau bus laikomas įtartinu, nei atmestas. Tai atitinka bendrą taisyklę: ~all, kai nesate visiškai tikri, -all, kai tikrai žinote, kad visi siuntėjai yra įtraukti.

Nepamirškite ir kitų siuntėjų iš savo 4.1 pamokos sąrašo: internetinės parduotuvės, naujienlaiškių paslaugos, buhalterijos. Jie turi likti SPF įraše.

3 žingsnis, pakeitimo momentas: MX ir autodiscover

Sutartu momentu, kai pirmoji pašto dėžučių kopija jau paruošta (4.2 pamoka):

1. Pakeiskite MX įrašus naujojo tiekėjo įrašais. Pašalinkite senąjį MX; nepalikite jo kaip „atsarginio“ su aukštesniu prioritetu, nes tuomet laiškai pateks pas senąjį tiekėją, kai tik naujasis šiek tiek sulėtės.
2. Pakeiskite autodiscover. Outlook savo nustatymų ieško per autodiscover.example.com. Jei jis vis dar nukreipia į autodiscover.outlook.com, Outlook ir toliau bandys prisijungti prie „Microsoft“, net jei pridėsite naują paskyrą. Pašalinkite įrašą arba nukreipkite jį į tai, ką nurodo naujasis tiekėjas. Kai kurie tiekėjai vietoj to naudoja autoconfig.example.com (Thunderbird) arba SRV įrašus, pavyzdžiui, _imaps._tcp ir _submission._tcp (RFC 6186).
3. Padarykite antrą kopiją pašto dėžučių, kad būtų perkelti ir paskutinių valandų laiškai.

Su „Microsoft 365“ susijęs netikėtumas, kuris daugelį nustebina. Kol example.com „Microsoft 365“ aplinkoje yra nurodytas kaip priimtasis domenas, „Microsoft“ pristato paštą tarp tos pačios aplinkos naudotojų viduje, nežiūrėdama į MX. Jei kolega, dar dirbantis Outlook pas „Microsoft“, siunčia laišką kitam kolegai, tas laiškas pateks į senąją pašto dėžutę. Todėl visus darbuotojus perjunkite tą pačią dieną, o pasibaigus pereinamajam laikotarpiui domeną pašalinkite iš „Microsoft“ aplinkos.

4 žingsnis, DMARC: stebėjimas perėjimo metu

DMARC nurodo gavėjams, ką daryti, jei laiškas neatitinka SPF arba DKIM, ir siunčia Jums ataskaitas. Kepyklėlė turėjo p=quarantine. Tai gerai, bet perėjimo metu pavojinga: jei naujojo tiekėjo DKIM dar neįjungtas, jų pačių laiškai pas klientus pateks į šlamštą.

Saugus būdas:

• Jei DMARC dar neturite, pradėkite nuo p=none su rua adresu. Tada su Jūsų paštu nieko nevyksta, bet gaunate ataskaitas.
• Jei jau turite quarantine arba reject, prieš pakeitimą bandomuoju laišku patikrinkite, ar naujojo tiekėjo DKIM veikia (gauto laiško antraštė rodo dkim=pass su d=example.com). Jei abejojate, laikinai nustatykite p=none ir kelias savaites stebėkite ataskaitas.
• Po to žingsnis po žingsnio griežtinkite: none, paskui quarantine, o galiausiai, jei reikia, reject. Pagal naująjį DMARC standartą (RFC 9989) bandomuoju laikotarpiu taip pat galite naudoti t=y; senasis žymos pct nebenaudojamas.

5 žingsnis, po kelių savaičių: susitvarkymas

Jei viskas kelias savaites veikia gerai, susitvarkykite senuosius įrašus:

• senąjį include iš SPF (ir, jei reikia, grįžkite prie -all);
• senuosius DKIM įrašus (selector1 ir selector2);
• patvirtinimo įrašą MS=ms... ir kitus galimus „Microsoft“ įrašus, pavyzdžiui, enterpriseregistration ir lyncdiscover, jei tokius turėjote;
• TTL grąžinkite į įprastą reikšmę, pavyzdžiui, 3600;
• domeną pašalinkite iš senosios „Microsoft“ arba „Google“ aplinkos.

Jei paliksite seną include, senasis tiekėjas dar metų metus galės siųsti laiškus Jūsų domeno vardu. Tai atviros durys.

Praktikoje: kaip tai atrodo pas tiekėją

Mano WebOké skiltyje DNS yra kortelė E. pašto nustatymai. Ji rodo MX, SPF ir DMARC su spalvotu tašku, o viršuje dešinėje, kokį pašto tiekėją ji atpažįsta pagal Jūsų MX. Naudodami Greitą nustatymą, vienu metu nustatysite tiekėjo įrašus, o geltonas pranešimas įspės, kad esami MX ir SPF įrašai bus pakeisti. Todėl pirmiausia padarykite DNS atsarginę kopiją, o tada patikrinkite, ar SPF įraše dar liko kiti Jūsų siuntėjai. Hostingo paslaugos produkto puslapyje yra kortelė Nustatyti paštą, kuri kiekvienam įrašui rodo, ar jis Tinkamas, Atkreipkite dėmesį, Netinkamas ar Nerasta, ir pateikia reikšmę su kopijavimo mygtuku. Jei DNS tvarko kita šalis, šias reikšmes perkelkite ten. Kiti tiekėjai ir DNS valdymo skydeliai turi panašias apžvalgas; patys įrašai visur yra tokie patys.

Santrauka

• Iš anksto, likus bent vienai senajai TTL trukmei, sumažinkite TTL ir padarykite DNS zonos atsarginę kopiją.
• Dar prieš pakeitimą paruoškite naujojo tiekėjo DKIM ir išplėstą SPF įrašą (vienas įrašas, abu tiekėjai).
• MX ir autodiscover keiskite tuo pačiu metu, o visus darbuotojus perjunkite tą pačią dieną; priešingu atveju „Microsoft“ vis tiek pristatys vidinį paštą į senąsias pašto dėžutes.
• Perėjimo metu DMARC nenustatykite griežtesnio, nei esate tikri; jei DMARC dar neturite, pradėkite nuo p=none ir ataskaitų.
• Po kelių savaičių sutvarkykite seną include, DKIM įrašus, patvirtinimo įrašus ir domeną senojoje aplinkoje.

Testas

Užduotis

Užduotis A4.3: Jūsų pašto įrašų apžvalga. Įveskite savo domeną ir savo (naujojo) tiekėjo DKIM selektorių. Programa patikrins, ar MX nukreipia į Jūsų tiekėją, ar yra lygiai vienas SPF įrašas, ar DKIM raktas yra po tuo selektoriumi ir ar yra lygiai vienas DMARC įrašas. Ji taip pat išmatuos Jūsų MX TTL reikšmę pas autoritetinį vardų serverį: planuojamam pakeitimui ji turi būti 3600 arba mažesnė.

Užduotis E4.3: Jūsų perjungimo planas. Savo domenui užrašykite šioje pamokoje aprašytą veiksmų planą: kiekvienam žingsniui datą ir laiką, įrašus prieš ir po (senas ir naujas SPF kaip vieną eilutę), kas tai atlieka, ir ką tikrinate po kiekvieno žingsnio.

Skaitykite daugiau

Šių straipsnių žingsniai galioja WebOké paslaugoms; pas kitus tiekėjus viskas veikia panašiai.

• WebOké vadovas 6.7: El. pašto nustatymo kortelė (MX, SPF, DKIM, DMARC)
• WebOké vadovas 5.6: Greitas el. pašto nustatymas DNS
• WebOké vadovas 5.7: DNS atkūrimas ir DNS atsarginės kopijos sukūrimas
• DirectAdmin vadovas 10.4: Po perkėlimo: MX įrašai ir Jūsų įrenginiai
• Nemokamas DNS kursas 4.3: SPF: kas gali siųsti laiškus Jūsų domeno vardu?
• Nemokamas DNS kursas 4.4: DKIM: parašas po Jūsų paštu
• Nemokamas DNS kursas 4.5: DMARC: ką gavėjai turi daryti su netikru paštu
• Nemokamas DNS kursas 6.3: DNS domeno perkėlimo metu
• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 6186 (SRV įrašai pašto programoms)