Online DNS-tööriistad

Moodul 8: Turvalisus ja probleemide lahendamine · Lugemisaeg: 7 minutit

Õpieesmärk: pärast seda tundi oskad iga oma DNS-iga seotud küsimuse jaoks valida õige veebitööriista ja tead, kuidas tulemust lugeda.

Põhimõisted: veebipõhine dig, riigipõhine DNS-checker, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, e-postituru kontroll, domeeni tervis

Miks veebipõhised tööriistad?

Veebitööriist esitab päringu mujalt kui sinu enda arvutist. Sellel on kaks eelist. Sind ei sega sinu enda arvuti ega ruuteri vahemälu ning sa näed seda, mida näeb ülejäänud internet. Pealegi koondavad paljud tööriistad kümneid kontrolle ühte klõpsu, samas kui dig-iga pead iga küsimuse eraldi esitama.

Ei ole ühte tööriista, mis teeks kõike kõige paremini. Vali selle järgi, mis on sinu küsimus.

Milline tööriist millise küsimuse jaoks?

WebOké tööriistad on siin toodud näitena kõiki asju korraga kontrollivast tööriistast; teistel majutuspakkujatel ja registripidajatel on sarnased tööriistad. Kahtluse korral kasuta kahte tööriista kõrvuti: kui kaks sõltumatut tööriista ütlevad sama asja, on tulemus peaaegu kindlasti õige.

Veebipõhise dig kasutamine

Veebipõhine dig teeb täpselt sama, mida sa õppisid tunnis 8.2. Sisestad nime (näiteks _dmarc.example.com), valid tüübi (TXT) ja saad toore väljundi. Google'i toolbox näitab ka staatust (NOERROR, NXDOMAIN, SERVFAIL) ja TTL-i. Kasuta seda tööriista, kui tahad teada, mis seal sõna-sõnalt kirjas on, näiteks kontrollimaks, kas su SPF-kirje esineb täpselt üks kord.

Riigipõhise DNS-checkeri lugemine

Pärast muudatust näed sellises checkeris nagu dnschecker.org sageli segu: mõnes riigis uus aadress koos rohelise linnukesega, mujal veel vana. See pole viga. Iga resolver on kirje teisel hetkel küsinud ja loeb maha oma TTL-i (tund 6.2).

Kahele asjale tasub tähelepanu pöörata:

• Kas näed kõikjal ikka veel vana vastust, ka kaua pärast TTL-i möödumist? Siis pole muudatus tõenäoliselt jõudnud nimeserverini, mida maailm tegelikult kasutab. Kontrolli, millised nimeserverid su domeenil on (tund 2.1).
• Kas mõne resolveri juures ei näe midagi (rist)? Siis võib tegemist olla SERVFAIL-iga, sageli DNSSECi tõttu. Kontrolli siis DNSViz-iga.

internet.nl

internet.nl on Hollandi Internetstandaarden Platformi (sealhulgas SIDN, NLnet Labs ja riigi) sõltumatu test. Testid on kolm: veebisait, e-post ja sinu enda ühendus. Tulemus on protsent koos selgitusega iga osa kohta ja punktiga "Kuidas parandada".

Loe tulemust mõttega: iga punane osa ei tähenda häiret. Kui näiteks puudub DANE või IPv6, töötab su meil või sait ikkagi, aga sa ei vasta kõige uuemale standardile. Punane "DNSSEC kehtiv" või "SPF" juures on aga oluline.

DNSViz

DNSViz joonistab usaldusahela tunnist 8.1: plokid juure, TLD ja sinu domeeni jaoks, nooltega DS ja DNSKEY jaoks. Sinine on turvaline, must tähendab allkirjastamata (mitte viga) ja punane on katki; kuidas pilti lugeda, on kirjas tunnis 8.1. Punased jooned või plokid näitavad täpselt, kus ahel katkeb, näiteks "DS-il puudub sobiv DNSKEY". See on tööriist, mille poole pöörduda, kui saad SERVFAIL-i, aga dig +cd annab siiski vastuse.

Zonemaster

Zonemaster (loodud muuhulgas .se ja .fr registrite poolt) kontrollib su tsooni samamoodi nagu register seda teeb: kas on vähemalt kaks nimeserverit, kas nad kõik annavad sama vastuse, kas SOA järjekorranumber on kõikjal õige, kas nimeserverid on kättesaadavad nii IPv4 kui IPv6 kaudu. Kasulik enne, kui muudad nimeservereid registri juures, mis kontrollib rangelt. Saad testida ka nimeservereid, mis pole veel domeeniga seotud ("undelegated test").

Meilitööriistad

E-postituru kontroll vaatab DNS-i poolt: kas on MX-kirje, kas on täpselt üks SPF-kirje, kas see jääb kümne otsingu piiridesse, kas on DMARC-kirje. See ei näe, kas DKIM töötab, sest selleks peab teadma selektorit. Seda testid päris meiliga: saada üks mail-tester.com-ile või Gmaili aadressile ja vaata käsu "Kuva originaal" alt, kas SPF, DKIM ja DMARC näitavad PASS.

Praktikas: kuidas see paneelis välja näeb

Paljudel paneelidel on oma kontroll. Minu WebOké domeenilehel on kaart Domeeni / e-posti tervis, kus on rohelised, oranžid ja punased täpid ning mõnikord parandusnupp. Cloudflare's näed teateid oma DNS-ülevaate ülaosas, Google Workspace'is ja Microsoft 365-s on kontrollleht halduskeskuses. Sellised kontrollid tunnevad sinu olukorda kõige paremini; sõltumatu tööriist näitab, mida näeb väline maailm. Kasuta mõlemat koos.

Kokkuvõte

• Veebitööriistad küsivad mujalt ja neid ei sega sinu enda vahemälu.
• Veebipõhine dig: mis seal sõna-sõnalt kirjas on. Riigipõhine DNS-checker: kas maailm näeb seda juba. DNSViz: kas DNSSEC-ahel on korras. Zonemaster: kas tsoon on tehniliselt korras. internet.nl: kas seadistus on moodne ja turvaline.
• E-postituru kontroll testib kirjeid; päris testmeil testib, kas SPF, DKIM ja DMARC läbivad.
• Kahtluse korral kasuta kahte tööriista kõrvuti.

Test

Ülesanne

Ülesanne Z8.3: veebitööriistad. Testi internet.nl veebisaidi- ja e-posti testiga internet.nl enda tööriistas. Märgi e-posti testi juures üles, kas meiliserverite (MX) jaoks on DNSSEC kehtiv, ning uuri DNSViz-is, millist algoritminumbrit kasutavad internet.nl DS-kirjed. Seejärel kontrolli veebipõhise dig-iga, milline reegel (p=) on internet.nl DMARC-kirjel. Sisesta vastused.

Rohkem lugemist

Need artiklid kirjeldavad WebOké enda kontrolle; sõltumatud tööriistad töötavad iga domeeni puhul.

• WebOké juhend 5.17: Domeeni ja e-posti tervis: kontrollimine ja parandamine
• Veebileht või e-post ei tööta pärast kolimist või DNS-muudatust: kontrolli oma domeeni
• Tasuta tööriist Domeeni tervis: https://www.weboke.ee/domeeni-tervis
• Tasuta e-postituru kontroll: https://www.weboke.ee/e-posti-kontroll