Kontrolni seznam za Vašo lastno domeno

Modul 8: Varnost in odpravljanje težav · Čas branja: 10 minut

Učni cilj: Po tej lekciji boste svojo domeno pregledali od zgoraj navzdol s stalnim kontrolnim seznamom in boste vedeli, pri katerem koraku začeti, če spletna stran ali e-pošta ne delujeta.

Ključni pojmi: registracija, imenski strežniki, A/AAAA, www, certifikat, MX, SPF, DKIM, DMARC, CAA, DNSSEC, TTL, varnostna kopija

Zakaj od zgoraj navzdol?

DNS je veriga: brez registracije ni imenskih strežnikov, brez delujočih imenskih strežnikov ni zapisov, brez zapisa A ni spletne strani. Napaka na vrhu povzroči vse mogoče težave na dnu. Zato seznam vedno preverjate v tem vrstnem redu in se ustavite pri prvi točki, ki ne drži. Najprej to odpravite, nato začnite znova od vrha.

V seznamu je naveden example.com: zamenjajte ga s svojo lastno domeno. Pri vsaki točki je naveden ukaz dig; uporabite lahko tudi spletni dig (lekcija 8.3). Preverjanje zdravja domene, kot ga ponuja Vaš ponudnik gostovanja ali brezplačno orodje Zdravje domene, opravi velik del tega seznama naenkrat, vendar je dobro vedeti, kaj je v ozadju.

Del A: temelj

1. Ali je domena registrirana in aktivna?

• Kako: poizvedba whois ali RDAP (na primer prek spletne strani registra, kot je sidn.nl za .nl), ali whois example.com.
• V redu: status aktivno (pri .nl: "active"), ne "v karanteni", ni potekla. Imetnik domene je pravilen.

2. Katere imenske strežnike ima domena in ali sta vsaj dva?

• Kako: dig +short NS example.com, in za podatek, ki ga posreduje register, dig +trace example.com.
• V redu: vsaj dva imenska strežnika, od ponudnika, pri katerem upravljate svoj DNS.

3. Ali odgovarjajo vsi imenski strežniki in ali dajejo enak odgovor?

• Kako: dig +short SOA example.com @<nameserver> za vsak imenski strežnik.
• V redu: vsak imenski strežnik odgovori (brez časovne prekoračitve, brez REFUSED) in serijska številka (tretje polje SOA) je povsod enaka. Imenski strežnik, ki ne odgovarja za Vašo domeno, se imenuje lame.

4. Ali DNSSEC deluje pravilno (če je vklopljen)?

• Kako: dig +short DS example.com in dig example.com A @1.1.1.1 (bodite pozorni na status in zastavico ad); ob dvomu DNSViz.
• V redu: ali ni zapisa DS (DNSSEC izklopljen, to deluje brez težav), ali pa obstaja DS s statusom NOERROR in zastavico ad. Napačno: SERVFAIL.

Del B: spletna stran

5. Ali domensko ime kaže na pravi strežnik?

• Kako: dig +short A example.com in dig +short AAAA example.com.
• V redu: naslov IPv4 (in, če ga imate, naslov IPv6) strežnika, kjer je Vaša spletna stran. Ne stari zapis AAAA prejšnjega strežnika.

6. Ali deluje www?

• Kako: dig +short A www.example.com (ali CNAME).
• V redu: zapis A, zapis AAAA ali CNAME, ki vodi do iste strani. Če www manjka, dobijo obiskovalci, ki vtipkajo www, sporočilo o napaki.

7. Ali ima stran veljaven certifikat za obe imeni?

• Kako: odprite https://example.com in https://www.example.com ter kliknite na ključavnico, ali uporabite test spletne strani na internet.nl.
• V redu: brez opozorila, certifikat je veljaven še vsaj nekaj tednov in velja za obe imeni.

8. Ali sme Vaš izdajatelj certifikatov izdajati certifikate (CAA)?

• Kako: dig +short CAA example.com.
• V redu: ni zapisa CAA (vsak sme izdati), ali pa obstaja zapis CAA z issue za ponudnika, ki izdaja Vaš certifikat. Napačno: zapis CAA, ki ne navaja Vašega izdajatelja.

Del C: e-pošta

9. Kam prihaja Vaša e-pošta?

• Kako: dig +short MX example.com, nato dig +short A <mailserver> za prvo ime.
• V redu: zapisi MX Vašega trenutnega ponudnika e-pošte, brez zaostalega zapisa MX prejšnjega ponudnika. Vsako ime poštnega strežnika ima zapis A ali AAAA. Če domene ne uporabljate za e-pošto, lahko ničelni MX (0 .) jasno pove, da e-pošta ne prihaja.

10. Ali obstaja natanko en pravilen zapis SPF?

• Kako: dig +short TXT example.com in preverite vrstice, ki se začnejo z v=spf1; preverjanje e-pošte prešteje poizvedbe.
• V redu: natanko en zapis SPF, z vsemi storitvami, ki pošiljajo e-pošto v imenu Vaše domene, ki se konča z ~all ali -all (nikoli +all), in največ deset poizvedb DNS.

11. Ali je DKIM nastavljen za vsako storitev, ki pošilja e-pošto?

• Kako: dig +short TXT <selector>._domainkey.example.com (ali CNAME) za vsak selektor, ki ga poznate, na primer selektorja Vašega ponudnika e-pošte in Vaše storitve za novičke. Selektor najdete v navodilih storitve ali v glavi DKIM-Signature: ... s=<selector> poslane e-pošte.
• V redu: vsak zapis vsebuje ključ (v=DKIM1; ... p=...) ali CNAME do storitve, testno sporočilo pa pri DKIM pokaže PASS.

12. Ali obstaja zapis DMARC?

• Kako: dig +short TXT _dmarc.example.com.
• V redu: natanko en zapis, ki se začne z v=DMARC1 in ima veljavno politiko (p=none, p=quarantine ali p=reject). Ste začeli z p=none? Potem načrtujte zaostritev.

13. Ali dejansko sporočilo pravilno prispe?

• Kako: pošljite sporočilo na mail-tester.com ali na naslov Gmail in si oglejte "Prikaži izvirnik".
• V redu: SPF, DKIM in DMARC na PASS.

Del D: vzdrževanje

14. Ali so vrednosti TTL smiselne?

• Kako: dig example.com A @<jouw nameserver> in preverite TTL.
• V redu: običajno od 3600 do 86400 (od ene ure do enega dne). Samo okoli načrtovane spremembe začasno 300. Če po prenosu pozabite vrniti vrednost nazaj, ni hudo, le povzroči nepotreben dodaten promet.

15. Ali imate varnostno kopijo svoje cone?

• Kako: gumb za varnostno kopijo ali izvoz v Vaši DNS plošči, ali dig za vsak zapis posebej, če je nimate.
• V redu: nedavna kopija vseh zapisov, shranjena zunaj plošče.

16. Ali ni pozabljenih zapisov?

• Kako: preglejte vse zapise v svoji plošči.
• V redu: brez verifikacijskih zapisov ali poddomen storitev, ki jih ne uporabljate več. CNAME do odpovedane storitve lahko nekdo drug "prevzame" (prevzem poddomene): odstranite ga.

Kje začeti ob pritožbi?

V praksi: tako je videti v plošči

Preverjanje zdravja domene samodejno opravi velik del tega seznama. V Mojem WebOké je to na strani domene prikazano kot kartica Domena / Zdravje e-pošte, z zeleno, oranžno in rdečo barvo za vsako točko; javna različica deluje za vsako domeno. Drugi ponudniki gostovanja, registrarji in DNS ponudniki imajo podobne preglede, internet.nl pa neodvisno preveri velik del dela B in C. Tak pregled uporabite kot izhodišče, ta seznam pa za razumevanje, kaj pomeni rdeča oznaka.

Povzetek

• Seznam preverite od zgoraj navzdol in se ustavite pri prvi točki, ki ne drži.
• Temelj: registracija, imenski strežniki, enaki odgovori, DNSSEC.
• Spletna stran: A/AAAA, www, certifikat, CAA.
• E-pošta: MX z naslovom, en SPF, DKIM za vsako storitev, en DMARC, testno sporočilo.
• Vzdrževanje: TTL, varnostna kopija, čiščenje.

Kviz

Naloga

Naloga Z8.5: Zaključna naloga: Vaša lastna domena. Preverite svojo domeno s tem kontrolnim seznamom. V učnem okolju vnesite ime svoje domene in za vsako točko dela A, B in C odgovorite, kaj ste ugotovili (na primer Vaše imenske strežnike, Vaš zapis MX, Vaš zapis SPF in Vašo politiko DMARC). Program opravi enake preglede in jih primerja. Če nekaj v Vaši domeni ni v redu, dobite razlago s sklicem na lekcijo. Če nimate lastne domene, uporabite sidn.nl.

Za nadaljnje branje

Ti članki opisujejo preglede pri WebOké; kontrolni seznam deluje za vsako domeno.

• Priročnik WebOké 5.17: Zdravje domene in e-pošte: preverjanje in odpravljanje težav
• Spletna stran ali e-pošta ne deluje po selitvi ali spremembi DNS: preverite svojo domeno
• Priročnik WebOké 5.7: Obnovitev DNS in varnostna kopija DNS
• Izdelava in obnova varnostne kopije DNS
• Brezplačno orodje Zdravje domene: https://www.weboke.si/zdravje-domene
• Brezplačno Preverjanje e-pošte: https://www.weboke.si/preverjanje-e-poste