Spletna orodja za DNS

Modul 8: Varnost in odpravljanje težav · Čas branja: 7 minut

Učni cilj: Po tej lekciji boste za vsako vprašanje o Vašem DNS izbrali pravo spletno orodje in znali razbrati rezultat.

Ključni pojmi: spletni dig, preverjevalnik DNS po državah, internet.nl, DNSViz, Zonemaster, MXToolbox, mail-tester, preverjanje e-pošte, zdravje domene

Zakaj spletna orodja?

Spletno orodje postavi Vaše vprašanje z druge lokacije kot Vaš računalnik. To ima dve prednosti. Nima težav s predpomnilnikom Vašega računalnika ali usmerjevalnika, in vidite tisto, kar vidi preostali del interneta. Poleg tega mnogo orodij združi na desetine preverjanj v enem kliku, medtem ko morate z dig vsako vprašanje postaviti posebej.

Ne obstaja eno orodje, ki vse počne najbolje. Izbirajte glede na svoje vprašanje.

Katero orodje za katero vprašanje?

Orodja WebOké so tu navedena kot primer preverjanja "vse v enem"; drugi ponudniki gostovanja in registrarji imajo podobna orodja. Če dvomite, uporabite dve orodji vzporedno: če dve neodvisni orodji pravita isto, je stvar skoraj zagotovo pravilna.

Uporaba spletnega diga

Spletni dig naredi natanko to, kar ste se naučili v lekciji 8.2. Vnesete ime (na primer _dmarc.example.com), izberete tip (TXT) in dobite surov izpis. Googlov toolbox prikaže tudi status (NOERROR, NXDOMAIN, SERVFAIL) in TTL. To orodje uporabite, kadar želite vedeti, kaj je dobesedno zapisano, na primer da preverite, ali se Vaš zapis SPF pojavi točno enkrat.

Branje preverjevalnika DNS po državah

Po spremembi boste v preverjevalniku, kot je dnschecker.org, pogosto videli mešanico: v nekaterih državah novi naslov z zeleno kljukico, v drugih državah še vedno stari. To ni napaka. Vsak razreševalnik je zapis pridobil ob drugem trenutku in odšteva svoj lasten TTL (lekcija 6.2).

Na kaj je treba biti pozoren:

• Ali povsod vidite stari odgovor, tudi dolgo po preteku TTL? Potem sprememba verjetno ni na imenskem strežniku, ki ga uporablja svet. Preverite, katere imenske strežnike ima Vaša domena (lekcija 2.1).
• Ali pri nekaterih razreševalnikih ne vidite ničesar (križec)? Potem gre lahko za SERVFAIL, pogosto zaradi DNSSEC. V tem primeru preverite z DNSViz.

internet.nl

internet.nl je neodvisen test nizozemske platforme za internetne standarde (med drugim SIDN, NLnet Labs in državna uprava). Obstajajo trije testi: spletna stran, e-pošta in Vaša lastna povezava. Rezultat je odstotek z razlago po posameznih delih in razdelkom "Kako izboljšati".

Rezultat berite preudarno: ni vsak rdeč del motnja. Če na primer manjka DANE ali IPv6, Vaša pošta ali stran še vedno delujeta, le ne ustrezata najnovejšemu standardu. Rdeče pri "DNSSEC veljaven" ali "SPF" pa je pomembno.

DNSViz

DNSViz nariše verigo zaupanja iz lekcije 8.1: bloke za koren, TLD in Vašo domeno, s puščicami za DS in DNSKEY. Modra pomeni varno, črna pomeni nepodpisano (ni napaka), rdeča pa pokvarjeno; kako brati sliko, je razloženo v lekciji 8.1. Rdeče črte ali rdeči bloki natančno pokažejo, kje se veriga pretrga, na primer "DS nima ustreznega DNSKEY". To je orodje, po katerem posežete, kadar dobite SERVFAIL, dig +cd pa vseeno vrne odgovor.

Zonemaster

Zonemaster (med drugim izdelan s strani registrov za .se in .fr) preveri Vašo cono tako, kot to počne register: ali obstajata vsaj dva imenska strežnika, ali vsi dajejo enak odgovor, ali se serijska številka SOA ujema povsod, ali so imenski strežniki dosegljivi prek IPv4 in IPv6. Priročno pred spremembo imenskih strežnikov pri registru, ki strogo preverja. Lahko preverite tudi imenske strežnike, ki še niso povezani z domeno ("undelegated test").

Orodja za pošto

Preverjanje e-pošte preveri DNS-stran: ali obstaja MX, ali obstaja točno en zapis SPF, ali ta sodi znotraj desetih poizvedb, ali obstaja zapis DMARC. Ne more preveriti, ali DKIM deluje, saj morate za to poznati selektor. To preverite z resničnim sporočilom: pošljite ga na mail-tester.com ali na naslov Gmail in pri "Prikaži original" preverite, ali so SPF, DKIM in DMARC na PASS.

V praksi: tako izgleda v nadzorni plošči

Mnoge nadzorne plošče imajo lastno preverjanje. V Moj WebOké je na strani domene kartica Domein / Email gezondheid, z zelenimi, oranžnimi in rdečimi pikicami ter včasih gumbom za popravilo. Pri Cloudflare vidite obvestila na vrhu Vašega pregleda DNS, pri Google Workspace in Microsoft 365 pa stran za preverjanje v nadzorni plošči. Takšna preverjanja najbolje poznajo Vašo situacijo; neodvisno orodje pa pokaže, kaj vidi zunanji svet. Uporabite ju skupaj.

Povzetek

• Spletna orodja postavijo vprašanje z druge lokacije in nimajo težav z Vašim predpomnilnikom.
• Spletni dig: kaj je dobesedno zapisano. Preverjevalnik DNS po državah: ali svet to že vidi. DNSViz: ali je DNSSEC-veriga pravilna. Zonemaster: ali je cona tehnično pravilna. internet.nl: ali je moderno in varno nastavljeno.
• Preverjanje e-pošte preveri zapise; pravo testno sporočilo preveri, ali SPF, DKIM in DMARC uspešno delujejo.
• Če dvomite, uporabite dve orodji vzporedno.

Kviz

Naloga

Naloga Z8.3: Spletna orodja. Preizkusite internet.nl s testom spletne strani in e-pošte samega internet.nl. Pri testu e-pošte zabeležite, ali je DNSSEC za poštne strežnike (MX) veljaven, in v DNSViz poiščite, katero številko algoritma uporabljajo zapisi DS domene internet.nl. Nato s spletnim digom preverite, katero politiko (p=) ima zapis DMARC domene internet.nl. Vnesite odgovore.

Za nadaljnje branje

Ti članki opisujejo preverjanja podjetja WebOké; neodvisna orodja pa delujejo za vsako domeno.

• Priročnik WebOké 5.17: Zdravje domene in e-pošte: preverjanje in odpravljanje težav
• Spletna stran ali e-pošta ne deluje po selitvi ali spremembi DNS: preverite svojo domeno
• Brezplačno orodje Domein gezondheid: https://www.weboke.si/zdravje-domene
• Brezplačno preverjanje e-pošte: https://www.weboke.si/preverjanje-e-poste