Reverse DNS ja sinu saatjaserver

Moodul 5: Maine ja suured teenusepakkujad · Lugemisaeg: 9 minutit

Leerdoel: pärast seda tundi oskad selgitada, miks sinu meili saatva serveri IP-aadress vajab korralikku reverse DNSi, tead kindlaks teha, milline server see sinu puhul on, ja oskad kontrollida, kas heen ja tagasi klapivad.

Põhimõisted: saatjaserver, PTR-kirje, forward-confirmed reverse DNS (FCrDNS), HELO/EHLO-nimi, geneeriline nimi, jagatud hosting, oma server (VPS), IP-bloki omanik

Milline server sinu meili tegelikult saadab?

Moodulis 4 oli jutt sinu domeenist: SPF, DKIM ja DMARC asuvad domeeni example.com DNS-is. Selles moodulis vaatame midagi muud: serverit, mis sinu meili vastuvõtjani toimetab. Sellel serveril on IP-aadress ja vastuvõtjad hindavad seda aadressi eraldi sinu domeenist.

Milline server see on, sõltub sellest, kuidas sa meili saadad:

Saatjaserveri IP-aadressi leiad meili päiseridadest, mille saatsid endale või mõnele teisele aadressile (tund 1.5). Vaata ülemist Received:-rida, mille lisas vastuvõttev server. Seal on midagi sellist:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

Nurksulgudes olev aadress, 192.0.2.25, on IP-aadress, millega saatev server ühenduse lõi. Selle ees olev nimi (smtp.hosting.example) on nimi, mille vastuvõtja selle aadressi juures reverse DNSi kaudu leidis.

Reverse DNS lühidalt

Reverse DNS seob IP-aadressi tagasi nimega, kasutades PTR-kirjet. Põhitõed õppisid DNS-kursusest (tund 4.6): kirje ei asu sinu domeeni tsoonis, vaid IP-aadressi reverse tsoonis, mida haldab IP-bloki haldaja.

E-posti jaoks on olulised kolm asja:

1. PTR on olemas. IP-aadress, millel pole reverse DNSi, näib suvalise masinana internetis. Gmail lükkab sellise meili tagasi teatega 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Nimi viitab tagasi samale aadressile. IP-aadressil 192.0.2.25 on PTR smtp.hosting.example ja smtp.hosting.example A-kirje on 192.0.2.25. Seda nimetatakse forward-confirmed reverse DNSiks (FCrDNS). Gmail, Yahoo ja T-Online nimetavad seda oma nõuetes sõnaselgelt.
3. Nimi näeb välja nagu meiliserver. Nimi nagu 192-0-2-25.dsl.provider.example või host25.dynamic.provider.example reedab kodu- või kliendiliitumise. Rämpspostifiltrid annavad selle eest miinuspunkte või lükkavad ühenduse kohe tagasi.

IPv6 puhul kehtib kõik sama. Kui server saadab meili IPv6 kaudu, peab ka IPv6-aadressil olema PTR, mis viitab tagasi AAAA-kirjega. Server, mis on IPv4 puhul korras, aga IPv6 puhul mitte, saab probleeme eelkõige Gmailiga: Google nimetab puuduvat IPv6-PTR-i "IPv6 authorization error" põhjusena.

HELO-nimi

Kui server loob ühenduse, tutvustab ta end käsuga EHLO (või vanem HELO) ja nimega (tund 1.2). RFC 5321 ütleb, et see peaks olema serveri täielik nimi. Praktikas kontrollivad vastuvõtjad, kas see nimi:

• on tegelik, olemasolev nimi (mitte localhost, mitte paljas IP-aadress, mitte nimi, mida DNS-is pole);
• sobib reverse DNS-iga või kuulub vähemalt samasse domeeni.

Majutuspaketi või meiliteenuse puhul korraldab seda haldaja. Kui sa haldad ise meiliserverit, seadistad HELO-nime oma meilitarkvaras (Postfixis on selle nimi myhostname) ja hoolitsed, et see nimi, PTR ja A-kirje kõik üksteisega klapiksid.

Jagatud hosting: PTR ei pea olema sinu domeen

Sageli küsitakse: "Kas reverse DNS ei peaks olema mail.example.com, sest see on ju minu domeen?" Ei. Jagatud hostingu ja suurte meiliteenuste puhul saadab üks server meili sadade või tuhandete domeenide nimel. IP-aadressil saab olla ainult üks PTR ja see sisaldab seega serveri enda nime, näiteks server12.hosting.example.

See on nii õige. Vastuvõtjad kontrollivad, kas PTR on olemas, viitab tagasi ega ole geneeriline. Nad ei kontrolli, kas seal on kirjas sinu enda domeeninimi. Seose sinu domeeni ja serveri vahel loob SPF (server on kirjas sinu SPF-is) ja DKIM (server allkirjastab sinu domeeni nimel).

WebOké puhul on see näiteks nii korraldatud: majutuspaketi serveritel on reverse DNS serveri enda nimega, domeeni webawere.nl all, mis omakorda viitab tagasi. Teistel majutusettevõtetel ja meiliteenustel toimib see samamoodi, oma servernimedega.

Oma server: mida pead sina ise korraldama?

Kui saadad meili otse oma serverist, näiteks VPS-ist koos veebipoega või oma meiliserverist, siis oled ise saatja ja pead rohkem asju korraldama:

1. Vali nimi, näiteks mail.example.com.
2. Loo A-kirje (ja AAAA-kirje) selle nime jaoks, mis osutab serveri IP-aadressile, oma domeeni DNS-is.
3. Küsi PTR serveri pakkujalt. Tavaliselt on kliendipaneelis väli "Reverse DNS" või "rDNS". Sinna sisestad sama nime.
4. Seadista oma meilitarkvara HELO-nimi samale nimele.
5. Lisa IP-aadress oma SPF-i (ip4: ja ip6:) ja lülita oma meilitarkvaras DKIM sisse.
6. Kontrolli, kas väljuv port 25 on avatud. Paljud pakkujad sulgevad selle vaikimisi, et ära hoida kuritarvitamist; sel juhul pead laskma selle avada või saatma meili oma pakkuja relee kaudu või eraldi saatmisteenuse kaudu.

Meiliserver tavalises kodu- või kontori internetiühenduses on peaaegu alati halb mõte. Sellised aadressid on sageli kirjas "lõppkasutaja aadresside" loendites (nagu Spamhausi Policy Block List, tund 5.2), PTR-i ei saa sa tavaliselt ise valida ja T-Online kirjutab otse ette, et sellised süsteemid peavad saatma meili sobiva pakkuja relee kaudu.

Kontrollimine

Käsureal (DNS-kursuse tund 8.2):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Kui teise päringu vastuseks tuleb sama aadress, siis FCrDNS klapib. IPv6 puhul teed sama käskudega dig -x 2001:db8::25 ja dig AAAA.

Võid ka vaadata, kuidas vastuvõtja seda nägi. Päiseridades kirjutab vastuvõttev server leitud nime sulgudesse pärast from. Kui seal seisab unknown, ei leidnud ta PTR-i. Mõned serverid lisavad ka omaenda kontrolli tulemuse, näiteks iprev=pass real Authentication-Results: (RFC 8601).

Kokkuvõte

• Saatjaserver on server, mis toimetab sinu meili vastuvõtjani. Vastuvõtjad hindavad selle IP-aadressi eraldi sinu domeenist.
• Sellel IP-aadressil peab olema PTR, mis viitab tagasi samale aadressile (FCrDNS), nii IPv4 kui ka IPv6 puhul, nimega, mis ei ole geneeriline.
• HELO-nimi peaks olema olemasolev nimi, mis sobib PTR-iga.
• Jagatud hostingu ja meiliteenuste puhul on PTR-is serveri nimi, mitte sinu domeen. See on õige nii.
• Oma serveri puhul korraldad ise nime, A/AAAA-kirje, PTR-i (oma pakkuja kaudu), HELO, SPF-i ja DKIM-i.

Test

Ülesanne

Opdracht Z5.1: Sinu enda domeeni saatjaserver. Saada meil oma aadressilt mõnele teisele enda aadressile (näiteks Gmaili või Outlook.com aadressile) ja ava päiseread. Leia serveri IP-aadress, mis meili ära toimetas, selle aadressi PTR-nimi ja täida, kas nimi viitab tagasi samale aadressile (jah/ei). Kui sul pole oma domeeni, kasuta meiliserveri mx00.t-online.de IP-aadressit. Programm küsib PTR-i ja A/AAAA-kirje reaalajas päringuga ja võrdleb neid.

Verder lezen

Nende artiklite sammud kehtivad WebOké paneelide kohta; teiste pakkujate juures toimib see sarnaselt.

• Meilide saatmine VPS-ist ja pöörd-DNS-i seadistamine
• Tasuta DNS-kursus 4.6: Reverse DNS (PTR): numbrilt tagasi nimeni
• E-kirjade saatmise protsess / SMTP
• RFC 5321 (SMTP), lõik 4.1.1.1 EHLO-nime kohta; RFC 8601 päise Authentication-Results kohta