Üleminek DNS-is: MX, SPF, DKIM ja DMARC

Moodul 4: E-posti kolimine · Lugemisaeg: 12 minutit

Õpieesmärk: pärast seda tundi oskad kavandada ja teostada e-posti DNS-vahetuse õiges järjekorras, nii et kirju ei lähe kaduma, sinu saadetud kirjad ei satu rämpsposti ja Outlook ei jää salaja vana teenusepakkuja juurde tagasi pöörduma.

Põhimõisted: TTL, MX-vahetus, SPF (üks kirje), DKIM-selektor, DMARC (p=none, rua), autodiscover, autoconfig, kinnituskirje, aktsepteeritud domeen

Viis kirjet, üks hetk

Oma domeenil e-posti kasutamiseks on DNS-is mitu kirjet, mis koos määravad, kas kiri kohale jõuab ja kas sinu kirja usaldatakse:

Kolimisel muutub peaaegu kõik sellest. Oluline on järjekord. Kui vahetad MX-i ajal, mil SPF ja DKIM kehtivad veel ainult Microsofti jaoks, siis kirjad küll jõuavad kohale, aga sinu saadetud kirjad satuvad rämpsposti. Kui vahetad esimesena SPF-i, ei saa Microsoft enne seda enam korralikult sinu nimel kirju saata.

See tund räägib järjekorrast. Kuidas iga kirje täpselt üles on ehitatud, loed DNS-kursusest (tunnid 4.1 kuni 4.5).

Samm 1, kaks päeva ette: TTL alla ja varukoopia

TTL (time to live) näitab, kui kaua teised serverid tohivad vastust meeles pidada. Kui MX-i TTL on 86400 sekundit (üks päev), siis mõned serverid saadavad pärast vahetust veel kuni ööpäeva vältel kirju vanale serverile.

Vähenda seega vähemalt ühe vana TTL-i võrra ette MX-i, SPF-i ja autodiscoveri TTL-i väärtuseni 300 või 3600 sekundit. Kui TTL on päev, tee seda vähemalt päev ette; kaks päeva on mugav varu. Tee samal ajal DNS-tsooni varukoopia või kirjuta kõik praegused kirjed üles. Siis saad alati tagasi pöörduda.

Bakkerij De Korrel näeb järgmist:

example.com.            3600  IN  MX   0 example-com.mail.protection.outlook.com.
example.com.            3600  IN  TXT  "v=spf1 include:spf.protection.outlook.com -all"
selector1._domainkey    3600  IN  CNAME selector1-example-com._domainkey.korrel.onmicrosoft.com.
selector2._domainkey    3600  IN  CNAME selector2-example-com._domainkey.korrel.onmicrosoft.com.
_dmarc.example.com.     3600  IN  TXT  "v=DMARC1; p=quarantine; rua=mailto:dmarc@example.com"
autodiscover            3600  IN  CNAME autodiscover.outlook.com.
example.com.            3600  IN  TXT  "MS=ms12345678"

TTL on juba 3600 (üks tund). Nad seavad MX-i ja SPF-i väärtuseks 300.

Samm 2, enne vahetust: DKIM ja SPF uue pakkuja jaoks valmis panna

Kirjed, mis midagi ei lõhu, saad juba ette valmis panna:

• Uue pakkuja DKIM. Uus pakkuja annab selektori ja võtme, näiteks x._domainkey koos TXT-kirjega v=DKIM1; k=rsa; p=.... Kuna selektori nimi erineb Microsofti omast (selector1 ja selector2), eksisteerivad need rahulikult kõrvuti. Iga saaja vaatab ainult seda selektorit, mis on kirja allkirjas märgitud.
• Laienda SPF-i, ära asenda seda. SPF-kirjeid tohib olla ainult üks. Lisa uus pakkuja samasse kirjesse, et üleminekupäevadel tohiksid saata mõlemad:

"v=spf1 include:spf.protection.outlook.com include:spf.mailaanbieder.example ~all"

Pagariäril oli -all. Ülemineku ajaks valivad nad ajutiselt ~all (softfail): kui mõni server jääb ikkagi puudu, peetakse kirja pigem kahtlaseks kui et see tagasi lükatakse. See järgib rusikareeglit: ~all, kui sa ei ole päris kindel, -all, kui tead kindlalt, et kõik saatjad on kirjas.

Ära unusta teisi saatjaid, mille panid kirja tunnis 4.1: veebipood, uudiskirjateenus, raamatupidamine. Need jäävad SPF-kirjesse alles.

Samm 3, vahetushetk: MX ja autodiscover

Kokkulepitud hetkel, kui postkastide esimene koopia on valmis (tund 4.2):

1. Asenda MX-kirjed uue pakkuja omadega. Eemalda vana MX; ära jäta seda alles kui "varu" kõrgema prioriteediga, sest siis jõuab kiri vanale pakkujale, kui uus on hetkeks aeglane.
2. Muuda autodiscoverit. Outlook otsib oma seadistusi aadressilt autodiscover.example.com. Kui see osutab endiselt aadressile autodiscover.outlook.com, siis proovib Outlook jätkuvalt Microsofti juurde sisse logida, isegi kui lisad uue konto. Eemalda see või suuna see sinna, kuhu su uus pakkuja määrab. Mõni pakkuja kasutab selle asemel autoconfig.example.com (Thunderbird) või SRV-kirjeid nagu _imaps._tcp ja _submission._tcp (RFC 6186).
3. Tee postkastidest teine koopia, et viimaste tundide kirjad kaasa saaksid.

Microsoft 365 puhul on üks üllatus, mis paljusid tabab. Niikaua kui example.com on Microsoft 365 keskkonnas kirjas kui aktsepteeritud domeen, toimetab Microsoft sama keskkonna kasutajate vahelised kirjad kohale sisemiselt, vaatamata MX-ile. Kui kolleeg, kes töötab veel Microsofti Outlookis, saadab kirja teisele kolleegile, jõuab see kiri vanasse postkasti. Seepärast vaheta kõik töötajad üle samal päeval ja eemalda domeen pärast üleminekuperioodi Microsofti keskkonnast.

Samm 4, DMARC: üleminekul kaasa lugemine

DMARC ütleb saajatele, mida teha, kui kiri ei läbi SPF-i või DKIM-i, ja saadab sulle raporteid. Pagariäril oli p=quarantine. See on hea, aga vahetuse ajal ohtlik: kui DKIM pole uue pakkuja juures veel sisse lülitatud, satub nende enda kiri klientide juures rämpsposti.

Turvaline lähenemine:

• Kui sul pole veel DMARC-i, alusta väärtusega p=none ja rua-aadressiga. Siis ei juhtu su kirjaga midagi, aga saad raporteid.
• Kui sul on juba quarantine või reject, kontrolli enne vahetust testkirjaga, et uue pakkuja DKIM töötab (saadud kirja päis näitab dkim=pass koos d=example.com). Kui kahtled, sea ajutiselt p=none ja loe paar nädalat raporteid kaasa.
• Karmista seejärel samm-sammult: none, siis quarantine, siis vajadusel reject. Uue DMARC-standardi järgi (RFC 9989) võid testifaasis kasutada ka t=y; vana silt pct kaob kasutuselt.

Samm 5, mõne nädala pärast: koristamine

Kui kõik töötab mõne nädala jooksul korralikult, koristad vanad kirjed:

• vana include SPF-ist (ja vajadusel tagasi väärtuseni -all);
• vanad DKIM-kirjed (selector1 ja selector2);
• kinnituskirje MS=ms... ja muud Microsofti kirjed, nagu enterpriseregistration ja lyncdiscover, kui need olid olemas;
• TTL tagasi tavapärasele väärtusele, näiteks 3600;
• domeeni vanast Microsofti või Google'i keskkonnast.

Kui jätad vana include'i alles, võib vana pakkuja aastaid veel sinu domeeni nimel kirju saata. See on lahtine uks.

Praktikas: nii näeb see välja ühe pakkuja juures

Minu WebOké DNS-i vahekaardil on kaart E-posti seaded. See näitab MX-i, SPF-i ja DMARC-i värvilise täpiga ning paremal üleval, millist meiliteenusepakkujat ta sinu MX-i järgi ära tunneb. Kiirseadistusega määrad korraga kõik kirjed ühe pakkuja jaoks, kollane teade hoiatab, et olemasolevad MX- ja SPF-kirjed asendatakse. Tee seepärast enne DNS-i varukoopia ja kontrolli pärast, kas SPF-kirjes on sinu teised saatjad alles. Majutuspaketi tootelehel on kaart E-posti seadistamine, mis näitab iga kirje kohta, kas see on Õige, Tähelepanu, Vale või Ei leidu, ja annab väärtuse koos kopeerimisnupuga. Kui sinu DNS asub mõne teise poole juures, võta need väärtused sealt üle. Teistel pakkujatel ja DNS-paneelidel on sarnased ülevaated; kirjed ise on kõikjal samad.

Kokkuvõte

• Vähenda TTL-i vähemalt ühe vana TTL-i võrra ette ja tee DNS-tsoonist varukoopia.
• Pane uue pakkuja DKIM ja laiendatud SPF-kirje (üks kirje, mõlemad pakkujad) valmis juba enne vahetust.
• Vaheta MX ja autodiscover samal ajal ning vaheta kõik töötajad üle samal päeval; muidu toimetab Microsoft sisemised kirjad ikka veel vanadesse postkastidesse.
• Ära sea DMARC-i ülemineku ajal rangemaks, kui oled kindel; kui DMARC-i veel pole, alusta väärtusega p=none ja raportitega.
• Mõne nädala pärast korista vana include, DKIM-kirjed, kinnituskirjed ja domeen vanast keskkonnast.

Test

Ülesanne

Ülesanne A4.3: Sinu meilikirjed ülevaates. Sisesta oma domeen ja oma (uue) pakkuja DKIM-selektor. Programm kontrollib, kas MX osutab sinu pakkujale, kas SPF-kirjeid on täpselt üks, kas DKIM-võti on selle selektori all olemas ja kas DMARC-kirjeid on täpselt üks. Ta mõõdab ka sinu MX-i TTL-i vastava nimeserveri juures: kavandatud vahetuse jaoks peab see olema 3600 või vähem.

Ülesanne E4.3: Sinu üleminekuplaan. Kirjuta oma domeeni jaoks selle tunni plaan: iga sammu kohta kuupäev ja kellaaeg, kirjed enne ja pärast (vana ja uus SPF ühe reana), kes selle teeb ning mida pärast iga sammu kontrollid.

Lisalugemist

Nende artiklite sammud kehtivad WebOké teenuste kohta; teistel pakkujatel töötab see sarnaselt.

• WebOké juhend 6.7: Kaart E-posti seadistamine (MX, SPF, DKIM, DMARC)
• WebOké juhend 5.6: E-posti kiire seadistamine DNS-is
• WebOké juhend 5.7: DNS taastamine ja DNS varukoopia tegemine
• DirectAdmin juhend 10.4: Pärast kolimist: MX-kirjed ja su seadmed
• Tasuta DNS-kursus 4.3: SPF: kes tohib sinu domeeni nimel kirju saata?
• Tasuta DNS-kursus 4.4: DKIM: allkiri sinu e-kirja all
• Tasuta DNS-kursus 4.5: DMARC: mida vastuvõtjad peavad tegema võltspostiga
• Tasuta DNS-kursus 6.3: DNS domeeni ülekande ajal
• RFC 7208 (SPF), RFC 6376 (DKIM), RFC 9989 (DMARC), RFC 6186 (SRV-kirjed meiliprogrammide jaoks)