Reverse DNS ir Jūsų siunčiantis serveris

5 modulis: Reputacija ir didieji gavėjai · Skaitymo trukmė: 9 min.

Tikslas: Po šios pamokos galėsite paaiškinti, kodėl Jūsų paštą siunčiančio serverio IP adresas turi turėti tvarkingą reverse DNS, nustatyti, kuris serveris tai yra Jūsų atveju, ir patikrinti, ar atitikimas abiem kryptimis sutampa.

Pagrindinės sąvokos: siunčiantis serveris, PTR įrašas, forward-confirmed reverse DNS (FCrDNS), HELO/EHLO vardas, bendrinis vardas, bendras prieglobos paslaugas naudojantis serveris, nuosavas serveris (VPS), IP bloko savininkas

Kuris serveris iš tikrųjų siunčia Jūsų paštą?

4 modulyje kalbėjome apie Jūsų domeną: SPF, DKIM ir DMARC yra nurodyti domeno example.com DNS įrašuose. Šiame modulyje žiūrėsime į kitą dalyką: serverį, kuris pristato Jūsų paštą gavėjui. Tas serveris turi IP adresą, ir gavėjai vertina tą adresą atskirai nuo Jūsų domeno.

Kuris tai serveris, priklauso nuo to, kaip siunčiate paštą:

Siunčiančio serverio IP adresą rasite antraštėse laiško, kurį išsiuntėte sau arba kitu adresu (1.5 pamoka). Pažiūrėkite viršutinę Received: eilutę, kurią pridėjo gaunantis serveris. Joje bus kažkas panašaus į:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

Adresas laužtiniuose skliaustuose, 192.0.2.25, yra IP adresas, su kuriuo siunčiantis serveris užmezgė ryšį. Vardas prieš jį (smtp.hosting.example) yra vardas, kurį gavėjas rado tam adresui per reverse DNS.

Reverse DNS trumpai

Reverse DNS sieja IP adresą atgal su vardu, naudojant PTR įrašą. Pagrindus išmokote DNS kurse (4.6 pamoka): įrašas yra ne Jūsų domeno zonoje, o IP adreso reverse zonoje, kurią administruoja ta šalis, kuri valdo IP bloką.

El. paštui svarbūs trys dalykai:

1. Yra PTR. IP adresas be reverse DNS atrodo kaip atsitiktinė mašina internete. Gmail atmeta tokį paštą su pranešimu 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Vardas rodo atgal į tą patį adresą. IP adresas 192.0.2.25 turi PTR smtp.hosting.example, o smtp.hosting.example turi A įrašą 192.0.2.25. Tai vadinama forward-confirmed reverse DNS (FCrDNS). Gmail, Yahoo ir T-Online tiesiogiai tai nurodo savo reikalavimuose.
3. Vardas atrodo kaip pašto serveris. Toks vardas kaip 192-0-2-25.dsl.provider.example arba host25.dynamic.provider.example išduoda namų ar kliento prisijungimą. Šlamšto filtrai už tai skiria baudos taškus arba iš karto atmeta ryšį.

IPv6 atveju galioja tas pats. Jei serveris siunčia per IPv6, tai ir IPv6 adresas turi turėti PTR ir atitikti AAAA įrašą. Serveris, kuris tvarkingas per IPv4, bet ne per IPv6, susiduria su problemomis ypač Gmail atveju: Google nurodo trūkstamą IPv6 PTR kaip „IPv6 authorization error“ priežastį.

HELO vardas

Kai serveris užmezga ryšį, jis prisistato naudodamas EHLO (arba senesnį HELO) ir vardą (1.2 pamoka). RFC 5321 teigia, kad tai turėtų būti visas serverio vardas. Praktikoje gavėjai patikrina, ar tas vardas:

• yra tikras, egzistuojantis vardas (ne localhost, ne pliki IP adresai, ne vardas, kurio nėra DNS);
• atitinka reverse DNS arba bent jau priklauso tam pačiam domenui.

Jei naudojate prieglobos paketą ar pašto paslaugą, tai sutvarko administratorius. Jei patys administruojate pašto serverį, HELO vardą nustatote savo pašto programinėje įrangoje (Postfix tai vadinama myhostname) ir pasirūpinate, kad tas vardas, PTR ir A įrašas visi sutaptų.

Bendra prieglobos paslauga: PTR nebūtinai turi būti Jūsų domenas

Dažnai užduodamas klausimas: „Ar reverse DNS neturėtų būti mail.example.com, nes tai mano domenas?“ Ne. Bendrų prieglobos paslaugų ir didelių pašto paslaugų atveju vienas serveris siunčia paštą šimtams ar tūkstančiams domenų. IP adresas gali turėti tik vieną PTR, todėl jame yra paties serverio vardas, pavyzdžiui, server12.hosting.example.

Tai yra tinkama. Gavėjai patikrina, ar PTR egzistuoja, ar rodo atgal ir ar nėra bendrinis. Jie nepatikrina, ar jame yra Jūsų domeno vardas. Jūsų domeno ir serverio ryšį sukuriate su SPF (serveris nurodytas Jūsų SPF įraše) ir DKIM (serveris pasirašo Jūsų domeno vardu).

WebOké atveju tai sutvarkyta štai taip: prieglobos paketo serveriai turi reverse DNS su paties serverio vardu, po webawere.nl, kuris savo ruožtu taip pat rodo atgal. Kitų prieglobos paslaugų teikėjų ir pašto paslaugų atveju tai veikia panašiai, su jų pačių serverių vardais.

Nuosavas serveris: ką turite sutvarkyti patys?

Jei siunčiate paštą tiesiogiai iš nuosavo serverio, pavyzdžiui, VPS su el. parduotuve arba nuosavu pašto serveriu, tuomet Jūs patys esate siuntėjas ir turite sutvarkyti daugiau dalykų:

1. Pasirinkite vardą, pavyzdžiui, mail.example.com.
2. Sukurkite A įrašą (ir AAAA įrašą) to vardo, nukreipdami jį į serverio IP adresą, Jūsų domeno DNS įrašuose.
3. Paprašykite PTR iš serverio paslaugų teikėjo. Dažniausiai kliento skydelyje yra laukas „Reverse DNS“ arba „rDNS“. Ten įveskite tą patį vardą.
4. Nustatykite HELO vardą savo pašto programinėje įrangoje tuo pačiu vardu.
5. Įveskite IP adresą į savo SPF įrašą (ip4: ir ip6:) ir įjunkite DKIM savo pašto programinėje įrangoje.
6. Patikrinkite, ar atviras išeinantis 25 prievadas. Daugelis paslaugų teikėjų jį pagal nutylėjimą uždaro, kad išvengtų piktnaudžiavimo; tokiu atveju turite paprašyti jį atidaryti arba siųsti per paslaugų teikėjo relay arba siuntimo paslaugą.

Pašto serveris paprastoje namų ar biuro interneto jungtyje beveik visada yra bloga idėja. Tokie adresai dažnai patenka į „galutinio vartotojo adresų“ sąrašus (pavyzdžiui, Spamhaus Policy Block List, 5.2 pamoka), PTR dažniausiai negalite pasirinkti patys, o T-Online tiesiogiai nurodo, kad tokios sistemos turi siųsti per tinkamo paslaugų teikėjo relay.

Patikrinkite

Naudodami komandinę eilutę (DNS kursas, 8.2 pamoka):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Jei antrasis užklausimas grąžina tą patį adresą, FCrDNS yra teisingas. IPv6 atveju darote tą patį su dig -x 2001:db8::25 ir dig AAAA.

Taip pat galite pažiūrėti, ką matė gavėjas. Antraštėse gaunantis serveris nurodo rastą vardą skliausteliuose po from. Jei ten parašyta unknown, jis nerado PTR. Kai kurie serveriai papildomai prideda savo patikrinimo rezultatą, pavyzdžiui, iprev=pass eilutėje Authentication-Results: (RFC 8601).

Santrauka

• Siunčiantis serveris yra serveris, kuris pristato Jūsų paštą gavėjui. Gavėjai vertina jo IP adresą atskirai nuo Jūsų domeno.
• Tam IP adresui reikalingas PTR, kuris rodo atgal į tą patį adresą (FCrDNS), tiek IPv4, tiek IPv6 atveju, su vardu, kuris nėra bendrinis.
• HELO vardas turėtų būti egzistuojantis vardas, atitinkantis PTR.
• Bendrų prieglobos paslaugų ir pašto paslaugų atveju PTR nurodytas serverio, o ne Jūsų domeno vardas. Tai yra tinkama.
• Naudodami nuosavą serverį patys sutvarkote vardą, A/AAAA, PTR (per savo paslaugų teikėją), HELO, SPF ir DKIM.

Testas

Užduotis

Užduotis Z5.1: Jūsų domeno siunčiantis serveris. Išsiųskite laišką iš savo paties adreso į kitą savo adresą (pavyzdžiui, Gmail arba Outlook.com adresą) ir atidarykite antraštes. Raskite IP adresą serverio, kuris pristatė laišką, to adreso PTR vardą ir nurodykite, ar vardas rodo atgal į tą patį adresą (taip/ne). Jei neturite savo domeno, naudokite pašto serverio mx00.t-online.de IP adresą. Programa realiu laiku užklausia PTR ir A/AAAA įrašus bei palygina.

Papildomam skaitymui

Šiuose straipsniuose aprašyti žingsniai taikomi WebOké valdymo skydeliams; kitų paslaugų teikėjų atveju veikia panašiai.

• El. laiškų siuntimas iš Jūsų VPS ir reverse DNS nustatymas
• Nemokamas DNS kursas 4.6: Reverse DNS (PTR): nuo numerio atgal prie vardo
• El. laiškų siuntimo proceso / SMTP paaiškinimas
• RFC 5321 (SMTP), 4.1.1.1 skirsnis apie EHLO vardą; RFC 8601 apie antraštę Authentication-Results