Kontrollnimekiri oma domeeni jaoks

Moodul 8: Turvalisus ja probleemide lahendamine · Lugemisaeg: 10 minutit

Õpieesmärk: pärast seda tundi kontrollid oma domeeni ülevalt alla kindla kontrollnimekirja järgi ning tead, millisest punktist alustada, kui veebisait või e-post ei tööta.

Põhimõisted: registreerimine, nimeserverid, A/AAAA, www, sertifikaat, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, varukoopia

Miks ülevalt alla?

DNS on ahel: ilma registreerimiseta pole nimeservereid, ilma toimivate nimeserveriteta pole kirjeid, ilma A-kirjeta pole veebisaiti. Viga ülemises osas põhjustab kõiksugu kaebusi allpool. Seepärast käid nimekirja alati selles järjekorras läbi ja peatud esimesel punktil, mis ei klapi. Lahenda see kõigepealt ja alusta siis uuesti algusest.

Nimekirjas on kasutatud example.com: asenda see oma domeeniga. Iga punkti juures on dig-käsk; seda saab teha ka veebipõhise dig-tööriistaga (tund 8.3). Domeeni tervisekontroll, nagu sinu majutuspartneril või tasuta Domeeni tervis, teeb suure osa sellest nimekirjast ühe korraga, aga hea on teada, mis selle taga toimub.

Osa A: alus

1. Kas domeen on registreeritud ja aktiivne?

• Kuidas: whois või RDAP päring (näiteks registri enda saidil, nagu sidn.nl .nl domeenide jaoks), või whois example.com.
• Hea: staatus aktiivne (.nl puhul: "active"), mitte "karantiinis", mitte aegunud. Omanik on õige.

2. Millised nimeserverid domeenil on, ja kas neid on vähemalt kaks?

• Kuidas: dig +short NS example.com, ja selle kohta, mida register edastab, dig +trace example.com.
• Hea: vähemalt kaks nimeserverit, selle partneri omad, kus sa oma DNS-i haldad.

3. Kas kõik nimeserverid vastavad, ja kas nad annavad sama tulemuse?

• Kuidas: dig +short SOA example.com @<nimeserver> iga nimeserveri jaoks.
• Hea: iga nimeserver vastab (ei aegu ega vasta REFUSED) ja seerianumber (SOA kolmas väli) on kõikjal sama. Nimeserverit, mis sinu domeeni jaoks ei vasta, nimetatakse lame'iks.

4. Kas DNSSEC on korras (kui see on sisse lülitatud)?

• Kuidas: dig +short DS example.com ja dig example.com A @1.1.1.1 (pane tähele staatust ja ad lippu); kahtluse korral DNSViz.
• Hea: kas pole DS-i (DNSSEC väljas, see töötab lihtsalt ka ilma), või on DS olemas staatusega NOERROR ja ad lipuga. Halb: SERVFAIL.

Osa B: veebisait

5. Kas domeeninimi osutab õigele serverile?

• Kuidas: dig +short A example.com ja dig +short AAAA example.com.
• Hea: selle serveri IPv4 aadress (ja kui sul on, IPv6 aadress), kus su veebisait asub. Mitte vana AAAA eelmisest serverist.

6. Kas www töötab?

• Kuidas: dig +short A www.example.com (või CNAME).
• Hea: A-kirje, AAAA-kirje või CNAME, mis viib samale saidile. Kui www puudub, saavad need, kes www-ga aadressi sisestavad, veateate.

7. Kas saidil on kehtiv sertifikaat mõlema nime jaoks?

• Kuidas: ava https://example.com ja https://www.example.com ning klõpsa lukuikoonil, või kasuta internet.nl veebisaidi testi.
• Hea: ühtegi hoiatust pole, sertifikaat kehtib veel vähemalt mõne nädala ja kehtib mõlema nime jaoks.

8. Kas sinu sertifikaadiväljastajal on luba sertifikaate luua (CAA)?

• Kuidas: dig +short CAA example.com.
• Hea: CAA-kirjet pole (kõigil on luba), või on CAA-kirje olemas issue väärtusega selle partneri jaoks, kes su sertifikaadi väljastab. Halb: CAA, mis sinu väljastajat ei maini.

Osa C: e-post

9. Kuhu su e-post jõuab?

• Kuidas: dig +short MX example.com, ja seejärel dig +short A <meiliserver> esimese nime jaoks.
• Hea: sinu praeguse meiliteenuse pakkuja MX-kirjed, ning ei ühtegi mahajäänud MX-i vanalt pakkujalt. Igal meiliserveri nimel on A- või AAAA-kirje. Kui sa ei kasuta domeeni e-posti jaoks, võib null MX (0 .) selgelt näidata, et e-posti ei saabu.

10. Kas on täpselt üks korrektne SPF-kirje?

• Kuidas: dig +short TXT example.com ja vaata ridu, mis algavad v=spf1; e-posti kontroll loeb päringute arvu.
• Hea: täpselt üks SPF-kirje, kõigi teenustega, mis sinu domeeni nimel e-kirju saadavad, lõpuga ~all või -all (mitte kunagi +all), ning mitte rohkem kui kümme DNS-päringut.

11. Kas DKIM on seadistatud igale teenusele, mis e-kirju saadab?

• Kuidas: dig +short TXT <selector>._domainkey.example.com (või CNAME) iga selektori jaoks, mida tead, näiteks sinu meiliteenuse pakkuja ja uudiskirjateenuse oma. Selektori leiad teenuse juhendist või saadetud kirja päisest DKIM-Signature: ... s=<selector>.
• Hea: iga kirje annab võtme (v=DKIM1; ... p=...) või CNAME-i teenuse juurde, ja testkiri näitab DKIM puhul PASS.

12. Kas on olemas DMARC-kirje?

• Kuidas: dig +short TXT _dmarc.example.com.
• Hea: täpselt üks kirje, mis algab v=DMARC1 ja millel on kehtiv reegel (p=none, p=quarantine või p=reject). Kas alustasid p=none-ga? Siis planeeri rangemaks muutmine.

13. Kas tegelik kiri jõuab korrektselt kohale?

• Kuidas: saada kiri aadressile mail-tester.com või Gmaili aadressile ning vaata "Kuva originaal".
• Hea: SPF, DKIM ja DMARC kõik PASS.

Osa D: hooldus

14. Kas TTL-id on mõistlikud?

• Kuidas: dig example.com A @<sinu nimeserver> ja vaata TTL-i.
• Hea: tavaliselt 3600 kuni 86400 (üks tund kuni üks ööpäev). Ainult planeeritud muudatuse ümber ajutiselt 300. Kui unustad pärast ülekannet tagasi panna, pole see hull, aga tekitab tarbetult rohkem liiklust.

15. Kas sul on oma tsoonist varukoopia?

• Kuidas: DNS-halduspaneeli varundus või ekspordinupp, või dig kirje kaupa, kui seda ei ole.
• Hea: hiljutine koopia kõigist kirjetest, mida hoitakse paneelist väljaspool.

16. Kas pole unustatud kirjeid?

• Kuidas: käi oma paneelis kõik kirjed läbi.
• Hea: ei ühtegi kinnituskirjet ega alamdomeeni teenustest, mida enam ei kasuta. CNAME, mis osutab lõpetatud teenusele, võidakse kellegi teise poolt "üle võtta" (subdomain takeover): eemalda see.

Kust alustada kaebuse korral?

Praktikas: nii näeb see välja paneelis

Domeeni tervisekontroll teeb suure osa sellest nimekirjast automaatselt. Minu WebOké's asub see domeenilehel kaardina Domain / Email tervis, iga punkti juures roheline, oranž ja punane värv; avalik versioon töötab iga domeeni jaoks. Teistel majutuspartneritel, registripidajatel ja DNS-teenuse pakkujatel on sarnased kontrollid, ning internet.nl testib suure osa B ja C osast sõltumatult. Kasuta sellist kontrolli alguspunktina ja seda nimekirja selleks, et mõista, mis on punaselt märgitud.

Kokkuvõte

• Käi nimekiri läbi ülevalt alla ja peatu esimesel punktil, mis ei klapi.
• Alus: registreerimine, nimeserverid, ühesugused vastused, DNSSEC.
• Veebisait: A/AAAA, www, sertifikaat, CAA.
• E-post: MX koos aadressiga, üks SPF, DKIM iga teenuse kohta, üks DMARC, testkiri.
• Hooldus: TTL, varukoopia, koristamine.

Test

Ülesanne

Ülesanne Z8.5: lõpuülesanne: oma domeen. Kontrolli oma domeeni selle kontrollnimekirjaga. Sisesta oma domeeninimi kursuskeskkonda ja vasta iga osa A, B ja C punkti kohta, mida sa leidsid (näiteks oma nimeserverid, oma MX, oma SPF-kirje ja oma DMARC reegel). Programm teeb samad kontrollid ja võrdleb. Kui sinu domeenis miski ei klapi, saad selgituse koos viitega vastavale tunnile. Kui sul pole oma domeeni, kasuta sidn.nl.

Loe edasi

Need artiklid kirjeldavad kontrolle WebOké juures; kontrollnimekiri töötab iga domeeni jaoks.

• WebOké juhend 5.17: Domeeni ja e-posti tervis: kontrollimine ja parandamine
• Veebileht või e-post ei tööta pärast kolimist või DNS-muudatust: kontrolli oma domeeni
• WebOké juhend 5.7: DNS taastamine ja DNS varukoopia tegemine
• DNS-i varukoopia tegemine ja taastamine
• Tasuta tööriist Domeeni tervis: https://www.weboke.ee/domeeni-tervis
• Tasuta E-posti kontroll: https://www.weboke.ee/e-posti-kontroll