Reverse DNS in Vaš strežnik za pošiljanje

Modul 5: Ugled in veliki ponudniki · Čas branja: 9 minut

Učni cilj: Po tej lekciji boste znali pojasniti, zakaj mora imeti IP-naslov strežnika, ki pošilja Vašo pošto, urejen reverse DNS, ugotoviti, kateri strežnik je to pri Vas, in preveriti, ali se smer naprej in nazaj ujemata.

Ključni pojmi: strežnik za pošiljanje, PTR-zapis, forward-confirmed reverse DNS (FCrDNS), ime HELO/EHLO, generično ime, deljeno gostovanje, lastni strežnik (VPS), lastnik IP-bloka

Kateri strežnik pravzaprav pošilja Vašo pošto?

V modulu 4 je bilo govora o Vaši domeni: SPF, DKIM in DMARC so zapisani v DNS domene example.com. V tem modulu si ogledamo nekaj drugega: strežnik, ki Vašo pošto dostavi prejemniku. Ta strežnik ima svoj IP-naslov, prejemniki pa ta naslov ocenjujejo ločeno od Vaše domene.

Kateri strežnik je to, je odvisno od načina pošiljanja:

IP-naslov strežnika za pošiljanje najdete v glavah sporočila, ki ste ga poslali samemu sebi ali na drug naslov (lekcija 1.5). Poiščite najzgornjo vrstico Received:, ki jo je dodal prejemni strežnik. V njej piše nekaj takega:

Received: from smtp.hosting.example (smtp.hosting.example [192.0.2.25])
        by mx.example.net with ESMTPS id 4f2a...

Naslov v oglatih oklepajih, 192.0.2.25, je IP-naslov, s katerim se je povezal strežnik pošiljatelja. Ime pred njim (smtp.hosting.example) je ime, ki ga je prejemnik za ta naslov našel prek reverse DNS.

Reverse DNS na kratko

Reverse DNS poveže IP-naslov nazaj z imenom, s PTR-zapisom. Osnove ste se naučili v tečaju DNS (lekcija 4.6): zapis ne stoji v coni Vaše domene, temveč v obratni (reverse) coni IP-naslova, ki jo upravlja tisti, ki upravlja IP-blok.

Za e-pošto so pomembne tri stvari:

1. PTR obstaja. IP-naslov brez reverse DNS je videti kot naključen stroj na internetu. Gmail takšno pošto zavrne s sporočilom 550 5.7.25 ... the sending IP address doesn't have a PTR record.
2. Ime kaže nazaj na isti naslov. IP-naslov 192.0.2.25 ima PTR smtp.hosting.example, smtp.hosting.example pa ima zapis A 192.0.2.25. Temu rečemo forward-confirmed reverse DNS (FCrDNS). Gmail, Yahoo in T-Online to izrecno omenjajo med svojimi zahtevami.
3. Ime je videti kot poštni strežnik. Ime, kot je 192-0-2-25.dsl.provider.example ali host25.dynamic.provider.example, razkriva domačo ali naročniško povezavo. Filtri za neželeno pošto za to dodelijo kazenske točke ali povezavo kar takoj zavrnejo.

Za IPv6 velja vse enako. Če strežnik pošilja prek IPv6, mora tudi IPv6-naslov imeti PTR in se z zapisom AAAA povezovati nazaj. Strežnik, ki je urejen pri IPv4, pri IPv6 pa ne, ima težave predvsem pri Gmailu: Google kot vzrok za "IPv6 authorization error" navaja manjkajoč PTR za IPv6.

Ime HELO

Ko se strežnik poveže, se predstavi z ukazom EHLO (ali starejšim HELO) in imenom (lekcija 1.2). RFC 5321 pravi, da bi to moralo biti polno ime strežnika. V praksi prejemniki preverijo, ali je to ime:

• resnično, obstoječe ime (ne localhost, ne gol IP-naslov, ne ime, ki ga ni v DNS);
• ustreza reverse DNS ali vsaj spada v isto domeno.

Pri gostiteljskem paketu ali poštni storitvi to uredi ponudnik. Če sami upravljate poštni strežnik, ime HELO nastavite v svoji poštni programski opremi (pri Postfixu se to imenuje myhostname) in poskrbite, da so to ime, PTR in zapis A med seboj usklajeni.

Deljeno gostovanje: PTR ni treba, da je Vaša domena

Pogosto vprašanje: "Ali ne bi moral biti reverse DNS mail.example.com, saj je to moja domena?" Ne. Pri deljenem gostovanju in pri velikih poštnih storitvah en strežnik pošilja pošto za sto ali tisoč domen. IP-naslov ima lahko samo en PTR, zato vsebuje ime samega strežnika, na primer server12.hosting.example.

To je tako, kot mora biti. Prejemniki preverijo, ali PTR obstaja, se povezuje nazaj in ni generičen. Ne preverjajo, ali je v njem ime Vaše domene. Povezavo med Vašo domeno in strežnikom vzpostavite s SPF (strežnik je naveden v Vašem SPF) in DKIM (strežnik podpisuje v imenu Vaše domene).

Pri WebOké je to urejeno na primer takole: strežniki gostiteljskega paketa imajo reverse DNS z imenom samega strežnika, pod domeno webawere.nl, ki se prav tako povezuje nazaj. Pri drugih gostiteljskih podjetjih in poštnih storitvah to deluje enako, le z njihovimi lastnimi imeni strežnikov.

Lasten strežnik: kaj morate urediti sami?

Če pošto pošiljate neposredno z lastnega strežnika, na primer VPS s spletno trgovino ali lastnim poštnim strežnikom, ste pošiljatelj Vi sami in morate urediti več stvari:

1. Izberite ime, na primer mail.example.com.
2. Ustvarite zapis A (in zapis AAAA) za to ime, ki kaže na IP-naslov strežnika, v DNS Vaše domene.
3. Zaprosite za PTR pri ponudniku strežnika. Večinoma je v upravljavski plošči polje "Reverse DNS" ali "rDNS". Vanj vnesete isto ime.
4. Nastavite ime HELO Vaše poštne programske opreme na isto ime.
5. Vnesite IP-naslov v svoj SPF (ip4: in ip6:) in v poštni programski opremi vklopite DKIM.
6. Preverite, ali je izhodna vrata 25 odprta. Mnogi ponudniki jih privzeto zaprejo, da preprečijo zlorabo; v tem primeru jih morate dati odpreti ali pošiljati prek relaya svojega ponudnika oziroma storitve za pošiljanje pošte.

Poštni strežnik na navadni domači ali pisarniški internetni povezavi je skoraj vedno slaba zamisel. Taki naslovi so pogosto na seznamih "naslovov končnih uporabnikov" (na primer Policy Block List pri Spamhausu, lekcija 5.2), PTR običajno ne morete sami izbrati, T-Online pa dobesedno predpisuje, da morajo taki sistemi pošiljati prek relaya primernega ponudnika.

Preverjanje

Z ukaznim oknom (tečaj DNS, lekcija 8.2):

dig -x 192.0.2.25 +short
smtp.hosting.example.

dig A smtp.hosting.example +short
192.0.2.25

Če se pri drugem vprašanju vrne isti naslov, FCrDNS velja. Pri IPv6 enako naredite z dig -x 2001:db8::25 in dig AAAA.

Lahko si tudi ogledate, kako je to videl prejemnik. V glavah prejemni strežnik zapiše ime, ki ga je našel, v oklepaju za besedo from. Če tam piše unknown, PTR ni našel. Nekateri strežniki dodajo tudi lastno preverjanje, na primer iprev=pass v vrstici Authentication-Results: (RFC 8601).

Povzetek

• Strežnik za pošiljanje je strežnik, ki Vašo pošto dostavi prejemniku. Prejemniki ocenjujejo njegov IP-naslov ločeno od Vaše domene.
• Ta IP-naslov potrebuje PTR, ki se povezuje nazaj na isti naslov (FCrDNS), za IPv4 in IPv6, z imenom, ki ni generično.
• Ime HELO bi moralo biti obstoječe ime, ki se ujema s PTR.
• Pri deljenem gostovanju in poštnih storitvah je v PTR ime strežnika, ne Vaša domena. To je tako, kot mora biti.
• Pri lastnem strežniku sami uredite ime, A/AAAA, PTR (prek svojega ponudnika), HELO, SPF in DKIM.

Kviz

Naloga

Naloga Z5.1: Strežnik za pošiljanje Vaše lastne domene. Pošljite sporočilo s svojega lastnega naslova na drug svoj naslov (na primer naslov Gmail ali Outlook.com) in odprite glave sporočila. Poiščite IP-naslov strežnika, ki je sporočilo dostavil, ime PTR tega naslova, in vpišite, ali se ime povezuje nazaj na isti naslov (da/ne). Če nimate lastne domene, uporabite IP-naslov poštnega strežnika mx00.t-online.de. Program v živo preveri PTR in zapis A/AAAA ter ju primerja.

Za nadaljnje branje

Koraki v teh člankih veljajo za upravljavske plošče WebOké; pri drugih ponudnikih deluje podobno.

• Pošiljanje pošte iz Vašega VPS-ja in nastavitev obratnega DNS
• Brezplačen tečaj DNS 4.6: Reverse DNS (PTR): od številke nazaj do imena
• Razlaga postopka pošiljanja e-pošte / SMTP
• RFC 5321 (SMTP), odstavek 4.1.1.1 o imenu EHLO; RFC 8601 o glavi Authentication-Results