DNS invers și serverul dumneavoastră de trimitere

Modulul 5: Reputație și furnizorii mari · Timp de citire: 9 minute

Scop: După această lecție puteți explica de ce adresa IP a serverului care trimite mesajele dumneavoastră trebuie să aibă o reverse DNS corectă, puteți stabili care server este acesta în cazul dumneavoastră și puteți verifica dacă legătura dintre nume și adresă este corectă în ambele sensuri.

Concepte cheie: server de trimitere, înregistrare PTR, forward-confirmed reverse DNS (FCrDNS), nume HELO/EHLO, nume generic, găzduire partajată, server propriu (VPS), proprietarul blocului de IP-uri

Ce server trimite de fapt mesajele dumneavoastră?

În modulul 4 a fost vorba despre domeniul dumneavoastră: SPF, DKIM și DMARC se află în DNS-ul domeniului example.com. În acest modul ne uităm la altceva: serverul care livrează mesajul dumneavoastră la destinatar. Acel server are o adresă IP, iar destinatarii evaluează acea adresă separat de domeniul dumneavoastră.

Care este acest server depinde de modul în care trimiteți mesaje:

Adresa IP a serverului de trimitere o găsiți în antetele unui mesaj pe care l-ați trimis către dumneavoastră înșivă sau către altă adresă (lecția 1.5). Căutați rândul Received: de sus, adăugat de serverul destinatar. Acolo găsiți ceva de genul:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

Adresa dintre paranteze drepte, 192.0.2.25, este adresa IP cu care s-a conectat serverul de trimitere. Numele din fața ei (smtp.hosting.example) este numele pe care destinatarul l-a găsit pentru acea adresă prin reverse DNS.

Reverse DNS pe scurt

Reverse DNS leagă o adresă IP înapoi de un nume, printr-o înregistrare PTR. Noțiunile de bază le-ați învățat în cursul de DNS (lecția 4.6): înregistrarea nu se află în zona domeniului dumneavoastră, ci în zona inversă a adresei IP, iar aceasta aparține părții care administrează blocul de IP-uri.

Pentru e-mail sunt importante trei lucruri:

1. Există o înregistrare PTR. O adresă IP fără reverse DNS pare a fi o mașină oarecare de pe internet. Gmail respinge astfel de mesaje cu mesajul 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Numele indică înapoi spre aceeași adresă. Adresa IP 192.0.2.25 are PTR smtp.hosting.example, iar smtp.hosting.example are înregistrarea A 192.0.2.25. Acest lucru se numește forward-confirmed reverse DNS (FCrDNS). Gmail, Yahoo și T-Online menționează explicit această cerință.
3. Numele arată ca un server de e-mail. Un nume precum 192-0-2-25.dsl.provider.example sau host25.dynamic.provider.example trădează o conexiune de acasă sau de client. Filtrele de spam penalizează acest lucru sau refuză imediat conexiunea.

Pentru IPv6 se aplică totul din nou. Dacă un server trimite prin IPv6, atunci și adresa IPv6 trebuie să aibă un PTR și să indice înapoi printr-o înregistrare AAAA. Un server corect configurat pentru IPv4, dar nu și pentru IPv6, va avea probleme mai ales la Gmail: Google menționează lipsa unui PTR pentru IPv6 drept cauză a unei „IPv6 authorization error”.

Numele HELO

Când un server se conectează, el se prezintă cu EHLO (sau mai vechiul HELO) și un nume (lecția 1.2). RFC 5321 precizează că acesta ar trebui să fie numele complet al serverului. În practică, destinatarii verifică dacă acel nume:

• este un nume real, existent (nu localhost, nu adrese IP simple, nu un nume care nu există în DNS);
• corespunde reverse DNS-ului sau, cel puțin, aparține aceluiași domeniu.

La un pachet de găzduire sau un serviciu de e-mail, administratorul se ocupă de acest aspect. Dacă administrați dumneavoastră înșivă un server de e-mail, configurați numele HELO în programul dumneavoastră de e-mail (în Postfix se numește myhostname) și vă asigurați că acel nume, PTR-ul și înregistrarea A coincid.

Găzduire partajată: PTR-ul nu trebuie să fie domeniul dumneavoastră

O întrebare frecventă: „Nu ar trebui ca reverse DNS să fie mail.example.com, pentru că acesta este domeniul meu?” Nu. La găzduirea partajată și la serviciile mari de e-mail, un singur server trimite mesaje pentru sute sau mii de domenii. Adresa IP poate avea o singură înregistrare PTR, care conține deci numele serverului propriu-zis, de exemplu server12.hosting.example.

Acest lucru este corect. Destinatarii verifică dacă PTR-ul există, indică înapoi corect și nu este generic. Ei nu verifică dacă numele propriului dumneavoastră domeniu apare în el. Legătura dintre domeniul dumneavoastră și server o stabiliți prin SPF (serverul se află în SPF-ul dumneavoastră) și DKIM (serverul semnează în numele domeniului dumneavoastră).

La WebOké, de exemplu, acest lucru este reglementat astfel: serverele unui pachet de găzduire au o reverse DNS cu numele serverului propriu-zis, sub webawere.nl, care de asemenea indică înapoi corect. La alte companii de găzduire și servicii de e-mail funcționează la fel, cu numele proprii ale serverelor lor.

Un server propriu: ce trebuie să reglementați dumneavoastră?

Dacă trimiteți mesaje direct de pe un server propriu, de exemplu un VPS cu un magazin online sau un server de e-mail propriu, atunci dumneavoastră sunteți expeditorul și trebuie să reglementați mai multe lucruri:

1. Alegeți un nume, de exemplu mail.example.com.
2. Creați înregistrarea A (și înregistrarea AAAA) a acelui nume către adresa IP a serverului, în DNS-ul domeniului dumneavoastră.
3. Solicitați PTR-ul de la furnizorul serverului. De obicei, în panoul de client există un câmp „Reverse DNS” sau „rDNS”. Acolo introduceți același nume.
4. Configurați numele HELO al programului dumneavoastră de e-mail la același nume.
5. Adăugați adresa IP în SPF-ul dumneavoastră (ip4: și ip6:) și activați DKIM în programul dumneavoastră de e-mail.
6. Verificați dacă portul 25 de ieșire este deschis. Mulți furnizori îl închid implicit pentru a preveni abuzurile; în acest caz trebuie să solicitați deschiderea lui sau să trimiteți prin intermediul unui releu (relay) al furnizorului dumneavoastră sau al unui serviciu de trimitere.

Un server de e-mail pe o conexiune obișnuită de internet de acasă sau de la birou este aproape întotdeauna o idee proastă. Astfel de adrese se află adesea pe liste de „adrese de utilizatori finali” (precum Policy Block List de la Spamhaus, lecția 5.2), de obicei nu puteți alege singur PTR-ul, iar T-Online prevede explicit că astfel de sisteme trebuie să trimită prin intermediul unui releu al unui furnizor adecvat.

Verificare

Cu o fereastră de comandă (cursul de DNS, lecția 8.2):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Dacă la a doua interogare revine aceeași adresă, atunci FCrDNS este corect. Pentru IPv6 procedați la fel cu dig -x 2001:db8::25 și dig AAAA.

Puteți verifica și cum a văzut un destinatar lucrurile. În antete, serverul destinatar scrie numele pe care l-a găsit între paranteze, după from. Dacă acolo scrie unknown, înseamnă că nu a găsit niciun PTR. Unele servere adaugă și propria verificare, precum iprev=pass în rândul Authentication-Results: (RFC 8601).

Rezumat

• Serverul de trimitere este serverul care livrează mesajul dumneavoastră la destinatar. Destinatarii evaluează adresa sa IP separat de domeniul dumneavoastră.
• Acea adresă IP are nevoie de un PTR care indică înapoi spre aceeași adresă (FCrDNS), atât pentru IPv4, cât și pentru IPv6, cu un nume care nu este generic.
• Numele HELO ar trebui să fie un nume existent, care corespunde PTR-ului.
• La găzduirea partajată și serviciile de e-mail, numele serverului se află în PTR, nu domeniul dumneavoastră. Acest lucru este corect.
• Cu un server propriu, reglementați dumneavoastră înșivă numele, A/AAAA, PTR-ul (prin furnizorul dumneavoastră), HELO, SPF și DKIM.

Quiz

Exercițiu

Exercițiul Z5.1: Serverul de trimitere al propriului dumneavoastră domeniu. Trimiteți un mesaj de la propria dumneavoastră adresă către o altă adresă a dumneavoastră (de exemplu o adresă Gmail sau Outlook.com) și deschideți antetele. Căutați adresa IP a serverului care a livrat mesajul, numele PTR al acelei adrese, și completați dacă numele indică înapoi spre aceeași adresă (da/nu). Dacă nu aveți propriul domeniu, folosiți adresa IP a serverului de e-mail mx00.t-online.de. Programul solicită în timp real PTR-ul și înregistrarea A/AAAA și le compară.

Lectură suplimentară

Pașii din aceste articole sunt valabili pentru panourile WebOké; la alți furnizori funcționează similar.

• Trimiterea de e-mailuri de pe VPS-ul dumneavoastră și configurarea DNS-ului invers
• Curs gratuit de DNS 4.6: Reverse DNS (PTR): de la număr înapoi la nume
• Cum funcționează trimiterea e-mailurilor / SMTP
• RFC 5321 (SMTP), paragraful 4.1.1.1 despre numele EHLO; RFC 8601 despre antetul Authentication-Results