Moodul 8 · 8.4
Levinud vead
Moodul 8: Turvalisus ja probleemide lahendamine · Lugemisaeg: 10 minutit
Õpieesmärk: pärast seda tundi tunned ära kümme kõige sagedamini tehtavat DNS-viga nende sümptoomi järgi ja tead, kuidas neid lahendada.
Põhimõisted: punkt lõpus, kahekordne domeeninimi, muutmine vales kohas, kaks SPF-kirjet, CNAME paljal domeenil, unustatud AAAA, MX ilma aadressita, proksi e-posti ees, vana DS pärast ülekannet, vahemälu
Kuidas seda tundi kasutada
Allpool toodud vead ei pärine õpikust, vaid küsimustest, mida majutuspakkujad saavad iga nädal. Iga vea juures näed: mida kasutaja märkab, kuidas sa seda ühe küsimusega tõestad ja mis on lahendus. Probleemi korral alusta alati samade kahe küsimusega: millised nimeserverid domeenil on (dig +short NS example.com) ja mida autoriteetne nimeserver tagastab (dig @<nameserver> <naam> <type>). Sellega lahendad juba poole juhtumitest.
1. Punkt lõpus on unustatud
Sümptom: CNAME, MX või NS ei tööta, teenus ütleb "kirjet ei leitud".
Tõestamine: dig +short CNAME shop.example.com annab shops.platform.example.example.com.
Põhjus: tsoonis on nimi ilma lõpupunktita suhteline: paneel liidab selle lõppu sinu enda domeeni (tund 2.2).
Lahendus: kirjuta sihtnimi täieliku nimena koos punktiga (shops.platform.example.). Mõned paneelid lisavad punkti ise, kontrolli pärast salvestamist, mis täpselt kirjas on.
2. Domeeninimi on nimes kahekordselt
Sümptom: teenuse juures kinnitamine või DKIM-kontroll ei õnnestu, kuigi kirje "on olemas".
Tõestamine: dig +short TXT k2._domainkey.example.com ei anna midagi, aga dig +short TXT k2._domainkey.example.com.example.com annab.
Põhjus: teenus annab täieliku nime (k2._domainkey.example.com) ja paneel lisab domeeni veel kord lõppu.
Lahendus: täida nimeväljale ainult osa, mis on enne su domeeni: k2._domainkey. Paneel näitab tavaliselt välja all täielikku nime: kontrolli seda.
3. Muutmine vales kohas
Sümptom: muudad kirjet, aga midagi ei muutu, isegi mitte päeva pärast.
Tõestamine: dig +short NS example.com annab teise osapoole nimeserverid kui need, kus sa muudatuse tegid (näiteks veebiehitaja või Cloudflare omad).
Põhjus: ainult nimeserverite osapool määrab DNS-i (tund 2.1). Kirjed mujal ei tee midagi.
Lahendus: muuda kirjet nimeserverite osapoole juures, või seadista nimeserverid tagasi. Päris näide: keegi suunas nimeserverid veebilehe jaoks veebiehitaja platvormile, aga A-kirje mail jaoks jäi sinna lisamata. Tulemus: saatmine toimis, vastuvõtmine mitte, sest MX osutas mail.example.com peale ja seda nime enam ei eksisteerinud.
4. Kaks SPF-kirjet
Sümptom: e-kiri satub sagedamini rämpsposti või lükatakse tagasi, pärast uue teenuse ühendamist.
Tõestamine: dig +short TXT example.com annab kaks rida, mis algavad v=spf1.
Põhjus: uus teenus ütles "lisa see SPF-kirje" ja seda tehti sõna otseses mõttes. Kahe SPF-kirjega on SPF kehtetu (permerror, RFC 7208), mis on hullem kui SPF-i puudumine.
Lahendus: ühenda need üheks kirjeks: v=spf1 a mx include:_spf.hosting.example include:spf.service.example ~all. Jälgi kümne päringu piiri (tund 4.3).
5. CNAME paljal domeenil
Sümptom: paneel keeldub kirjest, või pärast salvestamist ei tööta su e-post enam.
Tõestamine: teenus palub "loo CNAME @ jaoks".
Põhjus: CNAME ei tohi seista teiste kirjete kõrval, ja paljal domeenil on alati SOA- ja NS-kirjed (ning sageli MX ja TXT). Vaata tund 3.2.
Lahendus: kasuta @ peal teenuse määratud A-kirjet (ja soovi korral AAAA-d), CNAME-d kasuta ainult www või alamdomeeni jaoks. Mõnel DNS-pakkujal on selle jaoks ALIAS või "CNAME flattening".
6. AAAA on ülekande juures unustatud
Sümptom: pärast ülekannet näeb osa külastajatest (sageli mobiilis) endiselt vana saiti, või saab sertifikaadivea.
Tõestamine: dig +short A example.com annab uue aadressi, dig +short AAAA example.com annab endiselt vana serveri aadressi.
Põhjus: IPv6-ga seadmed eelistavad kasutada AAAA-d. Muudetud on ainult A-kirjet.
Lahendus: muuda AAAA kaasa, või eemalda see, kui uuel serveril IPv6-d ei ole. Päris näide: veebipoe platvormi ühendamisel tuli lisaks uuele A-kirjele eemaldada ka vana AAAA, muidu jäi pood osale külastajatest kättesaamatuks.
7. MX, mis ei osuta millelegi
Sümptom: sa ei saa e-kirju kätte; saatjad saavad veateate.
Tõestamine: dig +short MX example.com annab 10 mail.example.com., aga dig +short A mail.example.com ei anna midagi (NXDOMAIN).
Põhjus: MX osutab nimele ja sellel nimel peab olema A- või AAAA-kirje. Sageli on A-kirje mail jaoks nimeserverite ülekande käigus kadunud. MX ei tohi osutada ka IP-aadressile ega CNAME-le (RFC 2181).
Lahendus: loo A-kirje meiliserveri nime jaoks, või suuna MX nimele, millel on olemas aadress.
8. E-post on mujal, aga vana server arvab, et peab selle ise kohale toimetama
Sümptom: väljastpoolt tulev e-post jõuab uude teenusepakkujasse korralikult kohale, aga sinu enda veebisaidilt (kontaktvorm, veebipood) tulev e-post ei jõua kunagi kohale. Mõnikord saad vea 550 Unknown user.
Tõestamine: MX osutab uuele teenusepakkujale, aga veebiserveris on kohalik e-posti kohaletoimetamine endiselt sisse lülitatud.
Põhjus: see ei ole DNS-viga, aga näeb selline välja. Veebiserver, mis arvab, et postkastid on tal endal, ei vaata MX-i.
Lahendus: lülita majutuse paneelis kohalik kohaletoimetamine välja (DirectAdminis: linnuke "Gebruik deze server om mijn e-mails af te handelen"). Teistel paneelidel on sarnane seadistus, sageli nimega "Remote mail exchanger" või "e-mail extern".
9. Proksi on e-posti jaoks sees
Sümptom: proksifunktsiooniga DNS-pakkuja juures (nagu oranž pilv Cloudflare's) töötab veebisait, aga su e-postiprogramm ei saa ühendust, või saidi sertifikaati ei uuendata.
Tõestamine: dig +short A mail.example.com annab proksi aadressi su meiliserveri aadressi asemel.
Põhjus: veebiproksi suunab edasi ainult veebiliikluse, mitte e-posti.
Lahendus: lülita proksi välja (hall pilv, "DNS only") mail jaoks ja kõigi nimede jaoks, mida su e-postiprogramm kasutab. Sertifikaatide jaoks: lülita proksi ajutiselt välja, kuni sertifikaat on olemas, või kasuta proksi juures õiget SSL-seadistust.
10. Vana DS pärast ülekannet
Sümptom: pärast nimeserverite ülekannet on su domeen osale maailmast kättesaamatu, teistel inimestel pole probleemi.
Tõestamine: dig example.com @1.1.1.1 annab SERVFAIL, dig +cd example.com @1.1.1.1 annab vastuse küll. DNSViz (https://dnsviz.net/, tund 8.1) värvib DS punaseks ja joonistab selle alla halli, punktiirjoonega võtme, mida su tsoonis enam ei ole. Zonemaster ja Verisign DNSSEC Debugger teatavad samast sõnadega.
Põhjus: registri juures on endiselt vana osapoole DS (tund 8.1). Vigadeks saavad ainult valideerivad resolverid, seetõttu ei märka kõik seda.
Lahendus: lase DS uuendada uue osapoole võtmega, või eemalda see ja lülita DNSSEC seejärel uuesti sisse.
Ja "viga", mis ei ole viga: vahemälu
Väga sageli on kõik korras, aga sina näed ikka veel vana vastust. Tunned ära sellest: dig @<nameserver> annab uue vastuse, veebipõhine kontrollija teistes riikides samuti, ainult sinu arvuti mitte. Lahendus: privaatne aken, telefon 4G/5G kaudu, või tühjenda oma vahemälu (tund 8.2). Ka unustatud rida su arvuti hosts-failis (varasemast testist enne ülekannet) annab sellise pildi: eemalda see rida.
Seotud lõks: uue nime päring enne, kui sa oled selle loonud. Resolver jätab siis meelde "ei ole olemas" (negatiivne vahemälu) ja kulub kauem aega, enne kui uus nimi toimib (tund 6.2).
Praktikas: nii näeb see paneelis välja
Paljud paneelid väldivad osa neist vigadest. Minu WebOké hoiatab näiteks, kui lõpupunkt puudub, ja näitab nimevälja all täielikku nime; DirectAdmin keeldub kirjetest, mis ei ole kehtivad, teatega "Error Writing Records". Cloudflare'il ja teistel pakkujatel on sarnased hoiatused. Enne suuremaid muudatusi tee oma tsoonist varukoopia või eksport, siis saad alati tagasi minna.
Kokkuvõte
- Alusta alati: millised nimeserverid, ja mida ütleb autoriteetne nimeserver.
- Enamik vigu peitub nimes (punkt, kahekordne domeeninimi) või asukohas (vale osapool).
- Üks SPF-kirje, mitte CNAME @ peal, AAAA tuleb kaasa viia, MX nimele, millel on aadress.
- SERVFAIL pärast ülekannet on enamasti vana DS.
- Kui ainult sina näed vana vastust, on probleem su vahemälus või hosts-failis.
Test
Ülesanne
Ülesanne Z8.4: Vigade äratundmine. Saad viis lühikest juhtumit koos dig väljundiga (kursuse keskkonnas). Vali iga juhtumi puhul, milline kümnest veast see on. Seejärel päris otsing: uuri dig abil või veebipõhise tööriistaga välja, milline kirje on dnssec-failed.org jaoks vale (olek ja mida annab +cd), ja kas wikipedia.org-il on täpselt üks SPF-kirje.
Loe edasi
Need artiklid kirjeldavad lahendusi WebOké paneelides; teistel pakkujatel võivad nupud kanda teisi nimesid.
- Veebileht või e-post ei tööta pärast kolimist või DNS-muudatust: kontrolli oma domeeni
- Kui kaua kestab nameserveri või DNS-i muudatus ja mida teha, kui sa seda ei näe?
- DirectAdmin juhend 18.7: Minu domeen ei tööta veel pärast ülekannet või muudatust
- DirectAdmin juhend 18.9: Ma ei saa enam e-kirju kätte
- DirectAdmin juhend 5.4: CNAME-kirjed ja lõpu punkt
- E-posti saatmine PHP kaudu ei õnnestu, MX-kirjed suunavad mujale
- Kasuta oma domeeni jaoks enda või väliseid nameservereid (näiteks Cloudflare)