Modulul 8 · 8.3
Unelte DNS online
Modulul 8: Securitate și rezolvarea problemelor · Timp de citire: 7 minute
Obiectiv de învățare: După această lecție, veți alege pentru fiecare întrebare despre DNS-ul dumneavoastră unealta online potrivită și veți ști cum să interpretați rezultatul.
Concepte-cheie: dig online, DNS-checker pe țară, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, verificare de e-mail, sănătatea domeniului
De ce unelte online?
O unealtă online pune întrebarea dintr-un alt loc decât computerul dumneavoastră. Asta are două avantaje. Nu sunteți afectat de cache-ul propriului computer sau router și vedeți ce vede restul internetului. În plus, multe unelte combină zeci de verificări într-un singur clic, în timp ce cu dig trebuie să puneți fiecare întrebare separat.
Nu există o unealtă care face totul cel mai bine. Alegeți în funcție de întrebarea dumneavoastră.
Ce unealtă pentru ce întrebare?
| Întrebarea dumneavoastră | Unealtă potrivită | Ce vedeți |
|---|---|---|
| „Ce returnează DNS-ul exact acum?” | Google Admin Toolbox Dig (toolbox.googleapps.com/apps/dig), sau o altă unealtă dig online | Același lucru ca dig, fără să instalați nimic |
| „Întreaga lume vede deja schimbarea mea?” | dnschecker.org (sau alte „DNS propagation checkers” similare) | Răspunsul de la zeci de resolvere din diverse țări, unul lângă altul |
| „Domeniul meu este configurat modern și sigur?” | internet.nl (al platformului olandez Internetstandaarden Platform) | Scor pentru site web (IPv6, DNSSEC, https) și e-mail (DNSSEC, SPF, DKIM, DMARC, STARTTLS/DANE) |
| „Lanțul meu DNSSEC este corect?” | DNSViz (dnsviz.net) | O imagine a lanțului de la root la domeniul dumneavoastră, cu erorile în roșu |
| „Zona mea este corectă din punct de vedere tehnic?” | Zonemaster (zonemaster.net) | Verificare amplă a serverelor de nume, delegării, SOA și DNSSEC |
| „Cum stau înregistrările mele de e-mail?” | MXToolbox, o verificare de e-mail (de exemplu Verificarea e-mail de la WebOké), sau verificările furnizorului dumneavoastră de e-mail | MX, SPF (cu numărul de interogări), DMARC, liste negre |
| „E-mailul trimis de mine ajunge corect?” | mail-tester.com, sau un e-mail de test către Gmail cu „Afișare original” | Dacă SPF, DKIM și DMARC trec testul pentru un e-mail real |
| „Site-ul web și e-mailul funcționează bine împreună, totul într-o singură privire?” | O verificare a sănătății domeniului (de exemplu Sănătatea domeniului de la WebOké) | Servere de nume, înregistrare A, www, certificat, MX, SPF, DMARC, DNSSEC și CAA într-o singură listă |
Uneltele WebOké sunt menționate aici ca exemplu de verificare „totul într-unul”; alți furnizori de găzduire și registrari au unelte similare. În caz de îndoială, folosiți două în paralel: dacă două unelte independente spun același lucru, este aproape sigur corect.
Folosirea unui dig online
Un dig online face exact ce ați învățat în lecția 8.2. Introduceți numele (de exemplu _dmarc.example.com), alegeți tipul (TXT) și primiți rezultatul brut. Toolbox-ul Google arată și starea (NOERROR, NXDOMAIN, SERVFAIL) și TTL-ul. Folosiți această unealtă dacă doriți să știți ce scrie exact, de exemplu pentru a verifica dacă înregistrarea dumneavoastră SPF apare exact o singură dată.
Cum se citește un DNS-checker pe țară
După o modificare, veți vedea adesea într-un checker precum dnschecker.org un amestec: în unele țări adresa nouă cu o bifă verde, în altele încă pe cea veche. Aceasta nu este o eroare. Fiecare resolver a preluat înregistrarea într-un moment diferit și își numără propriul TTL în jos (lecția 6.2).
Două lucruri la care să fiți atent:
- Vedeți peste tot răspunsul vechi, chiar și mult după expirarea TTL-ului? Atunci modificarea probabil nu se află pe serverul de nume pe care îl folosește lumea. Verificați ce servere de nume are domeniul dumneavoastră (lecția 2.1).
- Nu vedeți nimic la unele resolvere (un X)? Atunci poate fi vorba de un SERVFAIL, adesea cauzat de DNSSEC. Verificați atunci cu DNSViz.
internet.nl
internet.nl este un test independent al platformului olandez Internetstandaarden Platform (printre altele SIDN, NLnet Labs și guvernul). Există trei teste: website, e-mail și propria conexiune. Rezultatul este un procentaj cu explicații pentru fiecare componentă și un „Cum să îmbunătățiți”.
Citiți rezultatul cu atenție: nu fiecare componentă roșie este o problemă. Dacă lipsește, de exemplu, DANE sau IPv6, e-mailul sau site-ul dumneavoastră funcționează în continuare, dar nu respectați cel mai recent standard. Roșu la „DNSSEC valid” sau „SPF” este, în schimb, important.
DNSViz
DNSViz desenează lanțul de încredere din lecția 8.1: blocuri pentru root, TLD și domeniul dumneavoastră, cu săgeți pentru DS și DNSKEY. Albastru înseamnă sigur, negru înseamnă nesemnat (nu este o eroare), iar roșu înseamnă defect; modul de citire a imaginii este explicat în lecția 8.1. Liniile roșii sau blocurile roșii arată exact unde se rupe lanțul, de exemplu „DS nu are un DNSKEY corespunzător”. Aceasta este unealta de folosit când primiți SERVFAIL, dar dig +cd tot oferă un răspuns.
Zonemaster
Zonemaster (creat printre altele de registrele .se și .fr) verifică zona dumneavoastră la fel cum o face un registru: există cel puțin două servere de nume, dau toate același răspuns, corespunde numărul de serie SOA peste tot, sunt serverele de nume accesibile prin IPv4 și IPv6. Util înainte de a schimba serverele de nume la un registru care verifică strict. Puteți testa și servere de nume care nu sunt încă legate de domeniu („undelegated test”).
Unelte pentru e-mail
O verificare de e-mail analizează partea DNS: există un MX, există exact o înregistrare SPF, se încadrează în cele zece interogări, există o înregistrare DMARC. Nu poate vedea dacă DKIM funcționează, pentru că pentru asta trebuie să știți selectorul. Acest lucru îl testați cu un e-mail real: trimiteți unul către mail-tester.com sau către o adresă Gmail și verificați la „Afișare original” dacă SPF, DKIM și DMARC afișează PASS.
În practică: cum arată într-un panou
Multe panouri au propria lor verificare. În Contul meu WebOké, pe pagina domeniului se află cardul Sănătatea domeniului / e-mailului, cu puncte verzi, portocalii și roșii și uneori un buton de reparare. La Cloudflare vedeți notificări în partea de sus a prezentării generale DNS, la Google Workspace și Microsoft 365 o pagină de verificare în centrul de administrare. Astfel de verificări cunosc cel mai bine situația dumneavoastră; o unealtă independentă arată ce vede lumea exterioară. Folosiți-le împreună.
Rezumat
- Uneltele online pun întrebarea dintr-un alt loc și nu sunt afectate de cache-ul dumneavoastră.
- Dig online: ce scrie exact. DNS-checker pe țară: lumea vede deja schimbarea. DNSViz: lanțul DNSSEC este corect. Zonemaster: zona este corectă din punct de vedere tehnic. internet.nl: configurare modernă și sigură.
- O verificare de e-mail testează înregistrările; un e-mail de test real testează dacă SPF, DKIM și DMARC trec.
- Folosiți două unelte în paralel dacă aveți îndoieli.
Quiz
Exercițiu
Exercițiul Z8.3: Unelte online. Testați internet.nl cu testul de website și de e-mail de pe internet.nl însuși. Notați la testul de e-mail dacă DNSSEC este valid pentru serverele de e-mail (MX) și căutați în DNSViz ce număr de algoritm folosesc înregistrările DS ale internet.nl. Verificați apoi cu un dig online ce politică (p=) are înregistrarea DMARC a internet.nl. Completați răspunsurile.
Lectură suplimentară
Aceste articole descriu verificările WebOké; uneltele independente funcționează pentru orice domeniu.
- Manual WebOké 5.17: Starea domeniului și a e-mailului: verificare și remediere
- Site-ul web sau e-mailul nu funcționează după o mutare sau o modificare DNS: verificați-vă domeniul
- Unealtă gratuită Sănătatea domeniului: https://www.weboke.ro/starea-domeniului
- Verificare gratuită de e-mail: https://www.weboke.ro/verificare-email